Angreifer haben in den vergangenen Stunden das Arch User Repository (AUR) missbraucht und Schadsoftware in den Installations­skripten versteckt. Die Arch-Linux-Entwickler sind dabei, die betroffenen Pakete zu löschen und die beteiligten Accounts zu sperren. Nutzer regulärer Arch-Linux-Pakete sind nicht betroffen.

Was ist das AUR?

Das Arch User Repository, kurz auch AUR genannt, ist eine Sammlung von Skripten mit Installations­anleitungen für zahlreiche Programme. Oftmals wird sie von Entwicklern der Programme selbst gepflegt oder aber auch von Freiwilligen. Dadurch ist es möglich, dass auch weniger versierte Nutzer Programme unter Arch Linux und darauf aufbauenden Distributionen installieren können, ohne sich selbst mit dem Build-Prozess auseinander­setzen zu müssen. Das ist insbesondere dann der Fall, wenn die gewünschte Software nicht direkt in den Paketquellen zu finden ist oder aber um bestimmte Funktionen erweitert werden soll. Bekannte Beispiele sind dafür der Brave Browser oder als Erweiterung für OBS-Studio die Browser-Source.

CachyOS & Manjaro mit AUR

Normalerweise kommt man als Arch-Linux-Nutzer nicht mit dem AUR in Berührung. Der eigene Paketmanager pacman kann keine Pakete aus dem AUR installieren. Dafür müsste der Nutzer die Software erst selbst kompilieren oder aber auf einen AUR-Helper zurückgreifen. Entsprechend sind Nutzer, die keine Pakete abseits der offiziellen Paketquellen installieren, nicht von dem Angriff betroffen.

Doch gerade auf Arch Linux aufbauende Distributionen wie CachyOS machen den Zugriff auf das AUR einfacher, da dort grafische Installations­programme zum Einsatz kommen und sich entsprechende Software mit wenigen Klicks installieren lässt.

Angriff über npm

Der Ablauf des Angriffs lässt sich schnell zusammenfassen. Die Installations­skripte wurden um npm als Abhängigkeit ergänzt und die Build-Anleitung um ein bösartiges npm-Paket erweitert. Das schadhafte atomic-lockfile wird dann während des Build-Prozesses beim Ausführen von npm install gestartet.

Ersten Analysen zufolge sammelt die Schadsoftware Daten aus Browsern respektive deren Profilen, darunter Chromium-basierte Browser wie Brave, Vivaldi, Opera, Microsoft Edge und Google Chrome. Auch Electron-Pakete sind betroffen, darunter Microsoft Teams, Discord und Slack. Der Schädling versucht ebenfalls Accountdaten für GitHub, npm und ChatGPT abzugreifen.

Mehr Informationen und Hintergründe finden sich in der Analyse auf ioctl.fail.

Über 400 Pakete infiziert

Wie der Mailingliste des Arch-Linux-Projekts zu entnehmen ist, wurden bereits über 400 Pakete mit den schadhaften Änderungen identifiziert.

Das CachyOS-Projekt stellt auch ein Skript bereit, um das eigene System schnell auf besagte Programme hin zu untersuchen.

Im Rahmen des Angriffs betonen die Entwickler erneut die Wichtigkeit, AUR-Skripte vor dem Herunterladen und Nutzen auf schädliche Kommandos hin zu überprüfen und nicht beliebige Sachen aus dem AUR zu laden.

Die Redaktion dankt für die zahlreichen Einsendungen über die aktuellen Entwicklungen.

Nvidia gibt China als stets potenziell riesigen Absatzmarkt nicht auf. Mit voller Kraft wird nun die Vera-CPU beworben, Kunden im Reich der Mitte können dafür bereits Aufträge platzieren. Schon im August könnten laut Medienbericht die ersten davon umgesetzt werden – überraschend flott.

Der Verkauf von GPUs lag bei „Null“

Offiziell erklärte Nvidia zuletzt, der Verkauf nach China sei bei Null angelangt. Über den grauen und schwarzen Markt gelangen jedoch weiterhin Produkte ins Land. Doch grundsätzlich greifen die US-Handelsrestriktionen bei Nvidia in voller Härte, mit AI-Beschleunigern aus dem GPU-Bereich hat das Unternehmen auch absehbar wohl eher keine Chance mehr, obwohl theoretisch eine Exportlizenz für ältere Chips vorhanden ist. Die praktische Umsetzung scheitert neben den US-Bestimmungen auf der einen Seite jedoch auch an der Politik Chinas auf der anderen Seite.

Bei CPUs sind die Restriktionen schwächer

Anders sieht es jedoch bei Prozessoren aus. Auch hier gibt es Einschränkungen, diese sind aber bei langem nicht so restriktiv wie bei GPU – bisher zumindest noch nicht. Das nun zügige Voranschreiten von Nvidia in dem Bereich für den chinesischen Markt lässt erahnen, dass sich auch Nvidia in vielleicht gar nicht so ferner Zukunft auch in diesem Segment auf Anpassungen einstellt. Noch gibt es die aber nicht, deshalb können chinesische Kunden bereits jetzt ihre Bestellungen für Vera-Prozessoren aufgeben, die bereits im August geliefert werden könnten, heißt es seitens Reuters.

CPUs werden auch bei AI wieder gefragt

Prozessoren erleben einen lange nicht dagewesenen Boom in diesem Jahr. Die großen Hersteller wie AMD und Intel können die Nachfrage nicht stillen, Eigenkreationen auf Arm-Technologie florieren. Denn Prozessoren sind in gewissen Einsatzfällen auch im AI-Umfeld von sehr großem Nutzen – Stichwort Inferencing mit Reasoning-Modellen.

Nvidia hatte diese Anzeichen ebenfalls früh erkannt und stellte dafür die Vera-CPU in Dienst, kurz vor der Computex 2026 Mitte Mai kam dann bereits die Meldung, dass die Auslieferung gestartet sei.

Nvidias Vera-CPU kann viel mehr als Vorgänger Grace

Nvidia hat die Vera-CPU auch deshalb breiter aufgestellt als den Vorgänger Grace. Grace war zuletzt „nur“ der GPU-Zuspieler auf der Platine Grace Blackwell alias GB200 (GB300 mit Blackwell Ultra). Die Vera-CPU kann diese Aufgabe für das Produkt Vera Rubin genau so übernehmen, bietet aber viel mehr Möglichkeiten, sodass die Prozessoren auch allein und zusammengeschaltet mit vielen weiteren Prozessoren sinnvoll eingesetzt werden können.

Vera bietet dafür 88 Custom-Arm-Kerne und erstmals auch SMT für insgesamt 176 Threads. Mit Partnern wie HPE wird dann die Skalierung realisiert: Für kommende Supercomputer wird HPE 16 CPUs pro GX240 Compute Blade und bis zu 40 dieser Blades in einem riesigen Rack bereitstellen. Oder anders ausgedrückt: Insgesamt 640 Prozessoren bieten in einem Serverschrank 56.320 Olympus-Arm-Kerne von Nvidia, die mit SMT 112.640 Threads bereitstellen.

Dorfromantik wurde Ende April fünf Jahre alt. Auf ein Jubiläums-Update mitsamt Medieval Biome Pack soll in knapp zwei Wochen die Veröffentlichung für macOS folgen. Bislang ist das virtuelle Puzzle- und Legespiel für den PC, PlayStation 5, Xbox Series X|S und Nintendo Switch erschienen.

Dorfromantik für Apple Silicon

Nach dem jüngst eingeführten Nachtmodus und Ranglisten handele es sich bei einer Mac-Version um einen weiteren häufig geäußerten Wunsch der Community, so Entwickler Toukana Interactive. Am 25. Juni 2026 soll es jetzt soweit sein, dann wird Dorfromantik via Steam auch auf macOS spielbar. Die Portierung sei in den vergangenen Monaten entstanden und benötige jetzt nur noch einige interne Tests und Feinschliff.

Konkrete Hardware-Voraussetzungen gibt es noch nicht, allerdings wird das Spiel zwingend Apple Silicon voraussetzen. Interessierte Spieler benötigen also einen Mac mit mindestens dem M1-Chip aus dem Jahr 2020. Mac-Modelle auf Intel-Basis werden nicht unterstützt.

Überraschungshit in der Pandemie

Mit Dorfromantik gelang Toukana im März 2021 ein Überraschungshit. Das digitale Puzzle- und Legespiel mit Carcassonne-Spielprinzip wurde von vier Studenten des Studiengangs Game Design an der HTW Berlin entwickelt und vom Land Brandenburg mit einer Förderung in Höhe von 110.000 Euro unterstützt. Nach dem Ende der Early-Access-Phase im April 2022 folgten im September 2022 eine Umsetzung für die Nintendo Switch sowie 2025 auch Fassungen für PlayStation 5 und Xbox Series X|S. Aktuell laufen beim inzwischen neunköpfigen Team neben der macOS-Portierung außerdem die Arbeiten an einer Mobile-Version.

Nach Dorfromantik haben die Entwickler in Zusammenarbeit mit Kurzgesagt ein weiteres Strategiespiel veröffentlicht. Star Birds ist im September 2025 erschienen.