Malware di AUR Arch Linux: Kasus Atomic Arch

Kasus malware AUR yang dijuluki Atomic Arch terungkap pada 11 sampai 12 Juni 2026, ketika ratusan paket yatim di Arch User Repository diadopsi akun penyerang lalu disusupi kode berbahaya. Paket tersebut sudah punya pengguna setia, sehingga pembaruan rutin berubah menjadi jalur pencurian kredensial. Artikel ini menjelaskan kronologi, cara kerjanya, dan cara membaca PKGBUILD sebelum Anda memasang apa pun.

Apa yang Terjadi pada Kasus Malware AUR Atomic Arch

AUR adalah repositori yang diisi oleh komunitas. Siapa pun dapat mengunggah resep build berupa berkas PKGBUILD, dan paket yang ditinggalkan pemeliharanya (orphan) bisa diadopsi oleh akun lain. Menurut laporan StepSecurity, penyerang memanfaatkan mekanisme adopsi itu: mereka mengambil alih paket yatim yang masih punya pengguna, lalu mengubah PKGBUILD atau install hook agar menjalankan instalasi sebuah paket npm berbahaya, misalnya atomic-lockfile. Peneliti Sonatype, yang mengungkapnya pada 11 Juni 2026, memberi nama kampanye ini Atomic Arch. Menurut Sonatype, paket npm itu membawa executable Linux yang dijalankan lewat skrip preinstall.

Pengumuman resmi Arch dan laporan para peneliti hanya menyangkut AUR, yang terpisah dari repositori resmi Arch. AUR memang sejak awal berisi konten pengguna yang tidak diaudit, tetapi kali ini yang diserang adalah kepercayaan pada paket lama yang dulu sah, bukan paket baru yang mencurigakan.

Kronologi Kampanye

• 11 Juni 2026: Sonatype mengungkap kampanye ini; StepSecurity awalnya melaporkan lebih dari 400 paket terdampak.
• 12 Juni 2026: menurut Sonatype, gelombang kedua muncul, dengan sedikitnya satu gelombang memakai Bun alih-alih npm. Arch menerbitkan pengumuman resmi tentang adopsi dan pembaruan berbahaya bervolume tinggi, dengan catatan bahwa pembuatan akun AUR baru, push pembaruan, serta adopsi dan pembuatan paket bisa terganggu. Phoronix mencatat daftar di milis aur-general berisi 1.579 paket dan menyebut daftar itu belum lengkap; pengembang Arch menghapus semua commit berbahaya yang mereka ketahui. Sonatype memperkirakan total sekitar 1.500 paket lintas gelombang.
• Pertengahan Juni 2026: menurut iTnews, insiden terpisah mengubah lebih dari 70 paket untuk menyisipkan spam berbahasa Rusia ke berkas konfigurasi shell pengguna.
• Akhir Juli 2026: kampanye baru dilaporkan dimulai sekitar 29 Juli. Menurut iTnews, daftar kontributor AUR per 30 Juli memuat sedikitnya 27 paket yang membawa biner ELF berbahaya bernama generik seperti "linter", "hasher", dan "minifier". BleepingComputer menyebutnya kampanye terpisah yang memiliki banyak kemiripan teknik dengan kampanye Juni, bukan kelanjutan yang terkonfirmasi.
• 31 Juli 2026: BleepingComputer melaporkan bahwa Arch, lewat pengumuman Robin Candau di milis, menonaktifkan sementara adopsi paket AUR karena lonjakan adopsi berbahaya.

Angka jumlah paket berbeda antar sumber karena daftar terus diperbarui; gunakan daftar terbaru di milis aur-general jika Anda perlu memeriksa host tertentu.

Dampak: Apa yang Dicuri

Payload Atomic Arch yang dilaporkan StepSecurity adalah pencuri kredensial berbasis Rust. Sasarannya mencakup cookie dan token sesi browser, kunci SSH beserta known_hosts, token GitHub dan npm, sesi Slack, Discord, dan Teams, kredensial Docker atau Podman, serta kunci akses cloud. Jika malware berjalan sebagai root, ia dapat mencoba persistensi berbasis eBPF yang menyembunyikan proses dan aktivitas berkas.

Yang terdampak adalah sistem berbasis Arch yang memakai AUR, termasuk turunan seperti EndeavourOS atau Manjaro yang dipakai bersama AUR, runner self-hosted yang memasang paket AUR, dan lingkungan Arch di WSL2. Runner GitHub-hosted dan runner self-hosted di distro lain tidak terdampak oleh jalur ini.

Cara Membaca PKGBUILD dan Model Kepercayaan AUR

Model kepercayaan AUR sederhana: tidak ada pihak yang menjamin isi paket selain Anda sendiri. Maka membaca PKGBUILD adalah bagian dari prosedur pemasangan, bukan kebiasaan opsional. Pada pembaruan, yang paling penting bukan isi lengkapnya, melainkan selisihnya.

• Baca diff, bukan hanya berkas. Banyak AUR helper menampilkan perubahan PKGBUILD sebelum build. Biasakan memeriksanya, terutama untuk paket yang baru berganti pemelihara.
• Waspadai sumber baru. Alamat source yang tiba-tiba berubah, tambahan unduhan dari domain asing, atau checksum yang dilewati patut dicurigai.
• Waspadai perintah bergaya manajer paket lain. PKGBUILD yang tiba-tiba memanggil npm install atau runtime JavaScript, padahal paketnya bukan proyek JavaScript, adalah tanda bahaya.
• Periksa berkas install hook. Skrip pasca-instal berjalan dengan hak akses tinggi dan sering luput dari review.
• Cek riwayat pemelihara. Paket yang sebelumnya yatim lalu diadopsi akun baru dan langsung berubah perilakunya layak ditunda.

Kampanye Juli mengingatkan bahwa membaca saja tidak selalu cukup: biner yang ditambahkan ke paket sulit dinilai dengan mata. Untuk paket yang kritis, bangun di lingkungan terisolasi dan jangan di mesin yang menyimpan kunci SSH atau token produksi.

Langkah Defensif untuk Pengguna dan Tim

1. Inventarisasi host berbasis Arch dan tinjau riwayat instalasi serta pembaruan AUR sejak awal Juni 2026.
2. Jika ada paket terdampak yang pernah terpasang dan dibangun, anggap kredensial terpapar: ganti kunci SSH, token GitHub, npm, dan cloud, serta batalkan sesi browser, terutama untuk akun admin dan SSO.
3. Host yang kemungkinan menjalankan payload sebagai root sebaiknya dianggap sepenuhnya terkompromi. Bangun ulang dari media tepercaya dan provisikan ulang dengan kredensial baru.
4. Pantau build host dan runner untuk pemanggilan manajer paket yang tidak terduga, koneksi keluar saat build, serta unit systemd atau objek eBPF yang mencurigakan.
5. Pisahkan mesin build dari mesin yang memegang rahasia. Perlakukan build host AUR sebagai lingkungan yang tidak tepercaya.

Pengerasan dasar server Linux, termasuk pemisahan hak akses dan pemantauan, kami bahas di panduan Linux security hardening. Untuk membedakan jenis malware yang Anda hadapi, lihat jenis-jenis malware.

Relevansi untuk Pengguna Linux di Indonesia

Arch dan turunannya populer di kalangan developer, mahasiswa, dan penggiat keamanan di Indonesia, dan laptop yang sama sering dipakai untuk pekerjaan, repositori kantor, serta akun cloud. Itu membuat satu paket AUR yang terkompromi bernilai tinggi bagi penyerang. Jika Anda mengelola tim, tetapkan kebijakan sederhana: AUR hanya untuk mesin pribadi non-kritis, dan tidak untuk runner CI atau server.

Baca juga: Operation Endgame dan Operation Killswitch: Penindakan Global terhadap Malware dan Ransomware, Penangkapan Pengguna Alias Bjorka: Fakta Kasus dan Pelajarannya.

Pertanyaan yang Sering Diajukan

Apakah repositori resmi Arch Linux ikut terdampak?

Pengumuman resmi Arch dan laporan yang ada hanya menyangkut AUR, repositori komunitas yang terpisah dari repositori resmi. Tidak ada pengumuman bahwa paket di repositori resmi ikut disusupi.

Bagaimana saya tahu apakah saya terdampak?

Periksa riwayat instalasi dan pembaruan AUR Anda sejak awal Juni 2026 terhadap daftar paket terdampak yang dipublikasikan komunitas Arch, dan cari tanda seperti paket npm yang tidak semestinya ada pada proses build.

Apakah AUR sekarang tidak aman dipakai?

AUR tetap berguna, tetapi sejak awal berisi konten pengguna yang tidak diaudit. Kasus ini mendorong kebiasaan membaca PKGBUILD dan memisahkan mesin build dari rahasia penting.

Kesimpulan

Atomic Arch menunjukkan bahwa kepercayaan pada paket lama bisa dibajak lewat mekanisme adopsi yang sah. Bacalah diff PKGBUILD, curigai perilaku yang tidak sesuai tujuan paket, dan jangan menyimpan rahasia di mesin yang membangun paket dari sumber komunitas. Jika Anda ingin memperdalam keamanan Linux secara terarah, lihat program training Linuxhackingid.