Is It Time To Leave Arch Linux

SYNTHÈSE STRUCTURÉE

Compromission massive de l’AUR par adoption de paquets orphelins

L’intervenant révèle qu’environ 2 000 paquets de l’Arch User Repository (AUR) ont été infectés par des logiciels malveillants. Le mode opératoire est simple : des acteurs malveillants identifient des paquets orphelins (non maintenus) et en deviennent les nouveaux mainteneurs. Une fois en contrôle, ils insèrent un payload via npm ou bun dans le fichier PKGBUILD. L’intervenant précise : « They’re going through finding all of these thousands of orphaned packages and they’re saying, “Hey, I’ll maintain it.” »

Objectifs du malware : SSH keys, API keys et données sensibles

Le code malveillant déployé vise à exfiltrer des informations critiques. L’intervenant détaille : « It tries to get your SSH keys and API keys. For those of you that are a developer and have a lot of API keys laying around on your system, I’m sure it’s probably taking a look at your browser history and things like that. Probably password managers. » Ce type de compromission expose directement les infrastructures connectées (serveurs GitLab, dépôts privés, scripts avec clés d’API).

Stratégie défensive : geler les mises à jour AUR

Face à cette menace, l’intervenant a choisi de ne plus mettre à jour ses machines Arch depuis deux à trois semaines, une durée inhabituelle pour une rolling release. Il explique : « I’m not going to take a chance that some infected piece of software gets put on my machine and then they steal my SSH keys. » Il recommande de ne pas exécuter de yay -Syu ou paru -Syu pour les paquets AUR tant que la situation n’est pas clarifiée.

Désinstaller les paquets AUR non essentiels

L’intervenant a passé en revue sa liste de paquets AUR et supprimé tout ce qui n’est pas indispensable ou qui peut être remplacé par un autre format. Il conseille : « If you’ve got things that are installed from the AUR, consider uninstalling all of it if you can. » Pour les paquets vraiment nécessaires (2 à 3 par machine), il conserve une installation minimale.

Migration vers Flatpak, Snap et AppImage

Pour remplacer les paquets AUR supprimés, l’intervenant a adopté d’autres formats : « I’ve installed several packages now as flat packs on this machine. I’ve got a couple of snaps running. I’ve got one app image. » Il précise que Flatpak convient surtout aux applications desktop, tandis que Snap et AppImage fonctionnent aussi pour des outils en ligne de commande (ex : fish shell en AppImage).

Limites des alternatives : tout n’est pas disponible ailleurs

L’intervenant reconnaît que certains paquets AUR n’ont pas d’équivalent dans d’autres formats. Il explique : « Not everything is going to be available, especially as a flat pack. A lot of the things people are grabbing from the AUR are not desktop applications. They’re command line applications, server kind of applications, libraries. » Pour ces cas, il faut accepter un risque résiduel ou chercher une source officielle.

Ne pas surréagir : tous les formats sont vulnérables

L’intervenant met en garde contre une réaction excessive qui consisterait à quitter Arch pour une autre distribution. Il rappelle : « All of these package formats are vulnerable. Anybody can infect any repository of software. We’ve seen malware in the snap store. We’ve seen malware in flatp packs. » La clé est de vérifier la source : privilégier les paquets signés par les développeurs officiels du logiciel.

Procédure d’urgence en cas d’infection suspectée

Si un utilisateur pense avoir installé un paquet AUR compromis, l’intervenant est catégorique : « You should format the drive this instant and reinstall to whatever distro. You need to wipe out this existing distro because this is not going to end well. » Une simple désinstallation ne suffit pas, car le malware peut avoir persisté ou exfiltré des données.

Critique de la politique d’Arch : des paquets populaires dans l’AUR

L’intervenant s’étonne que des logiciels très utilisés comme Brave, Zoom ou Spotify restent dans l’AUR alors qu’Arch n’interdit pas le logiciel propriétaire dans ses dépôts officiels. Il déclare : « Why do I have to go to the AUR to install the Brave browser? Very popular web browser these days. Why is it in the AUR? » Il suggère de déplacer les 10 à 20 paquets AUR les plus populaires vers les dépôts core pour réduire l’exposition.

Rester sur Arch en attendant une résolution

L’intervenant ne prévoit pas de changer de distribution pour l’instant. Il attend de voir comment l’équipe Arch gère la crise : « I’m just in a wait and see. Going to wait a couple of weeks before I take any updates and see how the Arch team handles this situation. » Il envisagerait un changement uniquement si la gestion est jugée insuffisante, et chercherait alors une autre rolling release avec un bon catalogue de paquets.

CONCEPTS CLÉS

AUR (Arch User Repository) : dépôt communautaire de paquets non officiels pour Arch Linux, géré via des fichiers PKGBUILD. Les paquets orphelins (sans mainteneur) peuvent être adoptés par n’importe quel utilisateur.
Paquet orphelin : paquet dont le mainteneur d’origine s’est désengagé, laissant la possibilité à un autre contributeur d’en reprendre la maintenance.
Payload : charge malveillante insérée dans le processus de build du paquet, ici via npm ou bun (gestionnaires de paquets JavaScript).
Rolling release : modèle de distribution où les mises à jour sont continues, sans version majeure figée. Arch Linux en est l’exemple typique.
Flatpak / Snap / AppImage : formats de paquets universels, respectivement maintenus par Flatpak Team, Canonical et la communauté. Ils isolent les applications du système hôte.

CONCLUSION

La compromission massive de l’AUR via l’adoption de paquets orphelins est un rappel brutal que la sécurité d’un dépôt communautaire repose sur la confiance en ses mainteneurs. L’intervenant adopte une posture pragmatique : geler les mises à jour AUR, migrer vers des formats plus contrôlés (Flatpak, Snap, AppImage) pour les logiciels non critiques, et ne conserver que l’indispensable. Il ne cède pas à la panique en quittant Arch, mais attend une réponse de l’équipe officielle. Son message principal est clair : la vigilance sur l’origine des paquets prime sur la commodité, et aucun format n’est intrinsèquement sûr.