Arch Linux Nonaktifkan Sementara Adopsi Paket AUR untuk Menghentikan Gelombang Malware

Tim pengembang Arch Linux menonaktifkan sementara fitur adopsi paket pada Arch User Repository (AUR) setelah terjadi lonjakan pengambilalihan paket oleh pelaku yang menyisipkan malware ke dalam paket-paket yang sudah ada.

Langkah darurat tersebut diumumkan oleh kontributor Arch Linux, Robin Candau, melalui mailing list resmi proyek sambil menunggu solusi permanen untuk mengatasi penyalahgunaan sistem adopsi paket.

Adopsi Paket AUR Dihentikan Sementara

Dalam pengumumannya, Robin Candau menjelaskan bahwa keputusan ini bersifat sementara hingga mekanisme yang lebih aman berhasil diterapkan.

Selain itu, komunitas Arch Linux diminta untuk tetap waspada dan segera melaporkan apabila menemukan paket yang diadopsi secara mencurigakan maupun perubahan kode (commit) yang diduga berbahaya.

Kampanye Malware Dimulai dari Paket openconnect-sso

Laporan teknis dari Independent Federated Intelligence Network (IFIN) menyebutkan bahwa kampanye malware terbaru mulai teridentifikasi pada 29 Juli 2026, dengan target awal berupa paket openconnect-sso.

Peneliti menemukan sejumlah kesamaan dengan kampanye malware sebelumnya, termasuk penggunaan jaringan Tor sebagai media komunikasi dengan server penyerang.

Sebelumnya, pada Juni 2026, lebih dari 400 paket AUR telah disusupi malware yang mendistribusikan Linux rootkit dan information stealer kepada pengguna.

Serangan Menggunakan Dua Tahap

Menurut hasil analisis IFIN, malware terbaru bekerja dalam dua tahap.

Tahap Pertama: Loader

Tahap awal bertugas sebagai loader yang mempersiapkan sistem korban sebelum mengunduh malware utama.

Loader tersebut memiliki berbagai teknik untuk menghindari analisis, di antaranya:

• Mendeteksi debugger.
• Memeriksa lingkungan sandbox.
• Mengidentifikasi mesin virtual (VM).
• Mendeteksi lingkungan CI/CD.

Jika kondisi dianggap aman, malware kemudian:

• Membuat layanan systemd.
• Menambahkan cron job.
• Menanam mekanisme persistensi.

Selanjutnya malware mengunduh klien Tor yang disamarkan sebagai proses dbus-daemon, kemudian menghubungi server .onion untuk mengambil payload tahap kedua.

Tahap Kedua: Infostealer Berbasis Rust

Payload tahap kedua merupakan malware yang ditulis menggunakan bahasa Rust.

Selain berfungsi sebagai information stealer, malware ini juga memiliki kemampuan:

• Remote Access Trojan (RAT).
• Penyebaran otomatis melalui SSH (SSH worm).

Data yang menjadi target pencurian meliputi:

• Kredensial browser.
• Dompet cryptocurrency.
• Data password manager.
• Kredensial layanan cloud.
• Secret milik developer.
• API key layanan AI.
• SSH key.
• Token aplikasi pesan.

Selain mencuri data, malware juga memungkinkan penyerang menjalankan perintah jarak jauh melalui koneksi Tor yang terenkripsi.

Mampu Menyebar ke Server Lain

Salah satu kemampuan yang paling mengkhawatirkan adalah fitur lateral movement.

Malware menggunakan SSH key yang berhasil dicuri untuk menyalin dirinya ke sistem lain, kemudian menjalankannya secara otomatis pada host tersebut.

Hal ini memungkinkan infeksi menyebar dengan cepat di lingkungan yang menggunakan autentikasi berbasis SSH.

Diduga Sudah Menjangkiti Lebih dari 200 Paket

Seorang peneliti yang memantau kampanye ini melalui Reddit menyebutkan bahwa serangan telah meluas hingga lebih dari 200 paket AUR.

Menurutnya, pelaku memperoleh akses melalui dua cara:

• Mengompromikan akun maintainer.
• Mengadopsi paket yang telah menjadi orphan (tidak memiliki maintainer).

Beberapa paket populer yang diduga telah terpengaruh antara lain:

• boringssl-git
• icloudpd
• windscribe-cli-v2-bin
• stirling-pdf-desktop-bin
• openconnect-sso
• arduino-language-server-noclang-bin
• pgadmin4-server

Namun hingga artikel ini ditulis, status kompromi seluruh paket tersebut belum dapat dikonfirmasi secara independen, dan daftar lengkap lebih dari 200 paket yang diduga berbahaya juga belum dipublikasikan.

Pengguna AUR Diminta Lebih Waspada

Insiden ini kembali menunjukkan bahwa AUR merupakan repositori berbasis komunitas, sehingga paket yang tersedia tidak mendapatkan proses audit resmi seperti repositori utama Arch Linux.

Pengguna disarankan untuk:

• Memeriksa perubahan maintainer sebelum melakukan pembaruan paket.
• Meninjau isi PKGBUILD sebelum instalasi.
• Menghindari pembaruan paket yang mencurigakan hingga situasi dinyatakan aman.
• Memantau pengumuman resmi dari tim Arch Linux.

Investigasi Masih Berlangsung

Hingga saat ini tim Arch Linux masih melakukan investigasi terhadap seluruh paket yang diduga telah diambil alih.

Fitur adopsi paket akan tetap dinonaktifkan sampai mekanisme yang lebih aman berhasil diterapkan guna mencegah penyalahgunaan serupa di masa mendatang.