AUR末日降临：近期AUR攻击事件一览
近期Arch用户软件仓库（AUR）遭遇一系列恶意攻击，包括通过伪造包和恶意更新传播恶意软件。本文详细分析了这些攻击的手法、影响范围以及社区应对措施，提醒用户注意验证包来源和内容，确保系统安全。
背景速读
- **AUR (Arch User Repository)** 是 Arch Linux 社区维护的软件包仓库，用户可在此分享非官方软件包；AUR 本身不审查代码，安全依赖社区信任。
- 近期 AUR 遭到多起供应链攻击：恶意维护者上传含后门的软件包（如伪装成热门工具），窃取用户密码、加密货币钱包等敏感数据。
- 攻击手段包括：劫持长期维护者账号、提交看似有用实则含恶意代码的包、利用 AUR 缺乏自动化安全检查的漏洞。
- 此事暴露了开源生态"信任即安全"模式的脆弱性，尤其当仓库缺乏强制性代码审查或签名验证时，用户需自行承担风险。