+PRV Si usáis Archlinux o derivadas y habéis instalado o actualizado estos paquetes en los últimos días: estáis troyanizados.

Ataque masivo a AUR: 1.579 paquetes troyanizados en Arch Linux​

Abrir el terminal y lanzar un `pacman -Syu` se ha convertido en ruleta rusa para los usuarios de Arch Linux y derivadas. Alguien automatizó la adopción de paquetes huérfanos en el Arch User Repository (AUR) y los sembró con código malicioso. La ventana de infección, según las primeras pesquisas, se concentró entre el 9 y el 12 de junio. El recuento provisional alcanza 1.579 paquetes comprometidos, y la cifra podría crecer.

La mecánica del ataque es tan simple como devastadora: un bot reclamó la titularidad de paquetes huérfanos (sin mantenedor) y subió versiones manipuladas. Cualquier instalación o actualización dentro de esas fechas pudo colar el troyano sin levantar sospechas. Entre los paquetes afectados figuran algunos conocidos como `emacs-magit` o la serie `libretro-*`, pero la lista es mucho más amplia.

Cómo saber si estás infectado​

La comunidad ha difundido un script que escanea los paquetes instalados contra la lista negra. Basta ejecutarlo en el terminal para obtener un veredicto. Los que actualizaron antes del 8 de junio o después del 13 están a salvo. El resto, especialmente quienes instalaron paquetes de AUR en esos días, deberían dar por contaminado el sistema. La recomendación es tajante: cambiar todas las contraseñas desde otro dispositivo y formatear el disco.

El problema de fondo: la confianza en AUR​

El incidente reabre el debate sobre el modelo de repositorio comunitario de Arch. AUR es una herramienta extraordinaria para acceder a software que no está en los repos oficiales, pero su falta de supervisión sistemática lo convierte en un blanco perfecto para este tipo de ataques. Mientras unos defienden que el usuario debe revisar los PKGBUILD antes de instalar, otros señalan que la automatización del ataque hace imposible detectar la amenaza a simple vista.

De momento, no hay una fecha para la restauración de la confianza. El repositorio sigue operativo, pero la sombra de la duda se cierne sobre cada paquete huérfano. La lección, por dolorosa, es clara: en el ecosistema Arch, la seguridad no es un producto, sino una práctica constante de vigilancia.