Atomic Arch 攻击活动于2026年6月爆发。Arch Linux在6月12日就“大量”恶意冒用行为发布警告，随后全面暂停新用户注册。这争取到了时间，却未解决问题。7月13日，Arch在“对新账户创建实施小幅限制”的前提下重新开放注册。十八天后，攻击者卷土重来。

该恶意软件部署了一个eBPF rootkit，可规避ls、ps和find的检测——常规工具无法发现感染痕迹；请从干净的系统开展调查。

目标凭证涵盖SSH密钥、GitHub令牌、云服务商密钥、OpenAI API令牌及Docker镜像仓库凭证——CI/CD流水线才是真正的波及范围核心。

如果您近期安装过 AUR 软件包，尤其是近期更换了维护者的软件包，请从干净的系统环境中轮换凭据。

结构性修复——即原包维护者与新包维护者之间的加密连续性——尚未完成；在此问题解决前，请将AUR视为高风险来源。

https://lists.archlinux.org/archives/list/aur-general@lists.archlinux.org/message/DRDEU3JUSC72CB265XHXPFA3DFSLXPBP/

https://byteiota.com/arch-linux-aur-attack-adoptions-halted-rotate-creds-now/