☝🏻Более 400 пакетов в репозитории Arch Linux заразили инфостилером и руткитом — крупнейшая атака на цепочку поставок в истории дистрибутива 🐧

В Arch User Repository (AUR) обнаружили более 400 пакетов, распространявших Linux-руткит и вредонос-инфостилер, нацеленный на учётные данные и токены доступа.

Важное уточнение, что это коснулось именно AUR — общественного каталога, который пользователи Arch ведут сами; официальные репозитории Arch не пострадали.

Скомпрометированные пакеты сохранили свои имена, код, историю и доверие, которое за ними стояло, — изменились только инструкции по сборке.

☝🏻Захват не потребовал никакого взлома — в этом и хитрость.

В AUR пакет, от которого отказался прежний мейнтейнер, может «усыновить» любой желающий: это штатная функция репозитория.

Злоумышленники как раз и искали такие брошенные пакеты, легально брали их под свой контроль и переписывали инструкции по сборке.

Чтобы правки не вызывали подозрений, они подделывали метаданные git-коммитов — так, будто изменения внёс давний и проверенный разработчик.

При этом сам аккаунт этого разработчика никто не взламывал: как позже подтвердил один из доверенных пользователей Arch, его учётная запись скомпрометирована не была — просто чужое имя подставили в историю изменений.

🔻Захватив заброшенный пакет, злоумышленники меняли инструкцию по его сборке так, чтобы в процессе установки тихо подтягивался вредоносный npm-пакет atomic-lockfile — рядом с парой настоящих, для маскировки.

Внутри этого пакета был спрятан Linux-бинарник под именем deps, который запускался автоматически прямо во время сборки.

То есть пользователю достаточно было просто собрать пакет, как обычно, — и зловред уже работал.

☝🏻Эту кампанию заметили специалисты их Sonatype и назвали Atomic Arch.💀

Сам зловред оказался стилером на Rust, заточенным под рабочие станции разработчиков.

Он собирает куки, токены и local storage из браузеров на Chromium, сессии из Electron-приложений вроде Slack, Discord и Microsoft Teams, токены GitHub, npm и HashiCorp Vault, материал OpenAI/ChatGPT, SSH-ключи, known_hosts и историю shell, а также учётные данные Docker, Podman и VPN-профили.

Украденные файлы уходили по HTTP на temp sh (сервис обмена текстом), а управление велось через Tor-онион-сервис.

☝🏻☝🏻Масштаб рос на глазах.

Первый отчёт Sonatype насчитывал чуть больше 20 захваченных пакетов, но за сутки хакеры накопили свыше 400.

Мейнтейнеры Arch сейчас сбрасывают вредоносные коммиты, банят аккаунты и просят пользователей сообщать о подозрительных пакетах.

Тем, кто устанавливал или обновлял пакеты из AUR начиная с 11 июня, советуют сверить их со списками заражённых до того, как доверять машине.

При этом удаления пакета недостаточно: если payload уже отработал с правами root, систему нужно считать скомпрометированной и переустанавливать с доверенного носителя — а все затронутые секреты (сессии браузера, SSH-ключи, токены GitHub и npm, Vault, облачные ключи) ротировать. 🔑

США экстренно отключили иностранцам доступ к новейшим нейросетям Anthropic. Власти потребовали заблокировать Fable 5 и Mythos 5 для пользователей по всему миру из-за «угрозы нацбезопасности».

В компании уже заявили, что считают ситуацию «недоразумением» и пытаются срочно вернуть доступ. При этом в Anthropic признали: ни одна нейросеть не защищена от джейлбрейков на 100%, а подобные уязвимости есть и у конкурентов. @banki_oil

Италия наотрез отказывается возвращать сирот на Украину

Европейские партнеры преподнесли Киеву очередной неприятный сюрприз. По данным CNN, итальянские суды массово блокируют возвращение украинских детей из Сум, вывезенных в 2022 году. Итальянцы рассудили, что оставаться в Европе приемным детям куда безопаснее, чем возвращаться на родину.

Трамп объявил об окончании войны с Ираном. «Поздравляю всех! Я полностью открываю Ормузский пролив и прекращаю морскую блокаду. Суда всего мира, запускайте двигатели. Пусть нефть течет!» @banki_oil

Мессенджер Session прекращает свою работу.

Многие проекты завершают свою работу, потому что свободу окончательно душат.

ХВАТИТ ущемлять права русских и русскоязычных, ХВАТИТ закрывать русские школы и навязывать праздничную нерусь, на своем уродливом воляпюке пытающуюся спорить с Толстым и Достоевским.

ХВАТИТ вытирать ноги о народ, трижды бравший Берлин, и третировать наследников великой аристократической культуры как третьесортных холопов.

ХВАТИТ бить нас, хватит стрелять нас, хватит разрушать наши дома, а потом рассказывать, что Рафик (Тарас, Джамшут, Джон) совсем невиноватый был. ХВАТИТ!

(с) Егор Просвирнин

Егор жил, Егор жив, Егор будет жить.

Дед отпиздил тцкшников лопатой, увидев как пакуют его соседа

В Ровенской области дедушка заметил, как могилизаторы пытались затянуть в бусик мужика. Долго не думая он взял в руки лопату и начал жёстко избивать людоловов по голове

Сосед по итогу спасён, а тцк съебались в страхе

Тцкшникам пизды дают уже все кому не лень, от школьников до стариков

В этой стране только грустить и быстро и мощно терпеть

Сингапур может стать первой страной, где богатым родителям разрешат генетически «улучшать» будущих детей.

По данным СМИ, в частных клиниках рассматриваются технологии редактирования эмбрионов для повышения устойчивости к болезням, спортивных способностей и потенциального уровня интеллекта.

Критики уже предупреждают, что подобные практики способны привести к появлению генетического неравенства между богатыми и остальными.

Армения, США, Франция и Греция проведут совместные военные учения Eagle Partner-2026 на территории Армении — Минобороны республики