Деньги в broader supply-chain/AppSec есть, но AUR/Arch incident-response — узкий и mostly non-enterprise сегмент.
ЗАХВАТ18
Ров слабый: IOC lists публичные, эвристики простые, форки и Gists уже есть, крупные vendors покрывают malicious packages шире.
ДОСТУП28
GPL-3.0 допускает коммерческое использование, но усложняет закрытый distributed agent; проект новый, без релизов и verified maintainer.
«Потенциал топят узость AUR-ниши, слабый ров и неудобство GPL-3.0 для закрытого агента.»
Рыночный анализ · Обзор
AUR Malware Check — Python CLI-сканер для проверки Arch Linux/AUR-систем на признаки заражения из supply-chain атак atomic-lockfile, CHAOS RAT 2025 и других кампаний.
Инструмент сверяет установленные AUR-пакеты, pacman-логи и кэши npm/bun/yarn/pnpm с известными списками заражённых пакетов и IOC. Он умеет работать по кампаниям из `campaigns.json`, обновлять списки, отдавать JSON и возвращать Nagios-совместимые exit codes. `--full` дополнительно проверяет systemd persistence, eBPF rootkit-артефакты и IOC-файлы.
Какую боль решает
После массовой компрометации AUR-пакетов пользователю или команде нужно быстро понять, были ли на машине заражённые пакеты, вредоносные JS-пакеты в global cache или следы persistence/rootkit. Без такого сканера triage распадается на Gists, ручные grep-команды и неполные списки IOC.
Сценарии использования
+Локальная проверка developer workstation после AUR-инцидента.
+Массовый triage Arch/Manjaro/CachyOS/EndeavourOS машин в команде.
+Интеграция JSON-вывода в monitoring или Nagios-совместимый пайплайн.
+Обновление IOC/package lists через `--refresh` и `--refresh-campaigns`.
+Проверка npm/bun/yarn/pnpm global cache на malicious package names.
Целевой пользователь
Arch/AUR power users, Linux-разработчики, DevOps/SRE и security engineers в командах, где есть Arch-based developer machines или CI runners.
Bash-сканер Atomic Arch с большим числом endpoint-эвристик: hook/timer, hidden process, network/C2, SUID, `/etc/hosts`; архитектурно проще и сильнее привязан к одному AUR-инциденту.
CLI для поиска malicious packages в PyPI/npm/Go/RubyGems/GitHub Actions/VSCode extensions через sandbox, YARA и metadata analysis; не AUR/local endpoint scanner.
Универсальный scanner для vulnerabilities, misconfigurations, secrets и SBOM в images/filesystems/repos/Kubernetes; не ловит конкретный AUR incident из коробки.
Позиционирование
Для AUR Atomic Arch incident response проект выглядит лидером по GitHub traction и структуре кампаний. В broader supply-chain security это нишевый инструмент рядом с крупными OSS-сканерами.
Repository firewall blocks malicious packages before SDLC; Lifecycle делает SCA/remediation; Nexus hosts artifacts.
Старые/косвенные данные: 1,000+ enterprise customers и 10M Nexus developers в 2017; Maven Central serves billions of requests/year from millions of developers.
Reachability-based SCA, malware detection, package firewall, SBOM/VEX и agent governance.
Scale/funding не подтверждены в найденных vendor pricing данных.
Developerfree
Corepaid seat-based, exact public dollars not shown
Propaid seat-based, exact public dollars not shown
Текущая монетизация проекта
Признаков коммерциализации самого автора или проекта нет. Homepage отсутствует, GitHub Sponsors/paid support/cloud/open-core в предоставленных фактах и собранных страницах не подтверждены. PyPI install есть, но платной версии не видно. README прямо описывает проект как консолидацию community Gists, а не продуктовую компанию.
Коммерческий потенциал
ПОТЕНЦИАЛ · СРЕДНИЙ
Заработать можно, но не как самостоятельный venture-scale продукт. Реалистичная монетизация — incident response, hardening consulting, managed AUR threat feed или OEM/plugin для существующих EDR/SCA/MDM продуктов.
Спрос и рынок
Broader AppSec/SCA/supply-chain security растёт и хорошо монетизируется: крупные vendors продают per-developer или enterprise subscriptions. Но этот repo обслуживает узкую pain point — Arch/AUR malware triage; платёжеспособность отдельных Arch users низкая, а корпоративный спрос есть только у компаний с Arch в dev fleet или CI.
Ров / защищённость
Ров слабый. IOC lists публичные, эвристики легко повторяются, а существующие Gists и форки уже покрывают часть задачи. Ров может появиться через эксклюзивную AUR threat intel базу, мониторинг PKGBUILD diffs/orphan takeovers, reputation scoring для AUR maintainers, integrations с yay/paru/pacman hook/MDM/EDR и community trust вокруг rapid incident response.
+Managed threat feed для AUR/Arch/Chaotic-AUR/PKGBUILD IOCs по subscription-модели.
+OEM/plugin в существующие EDR/SCA/MDM продукты как Arch Linux scanner.
+Support/SLA для компаний с Arch developer workstations.
Что нужно, чтобы сделать продукт
+Стабильные releases и versioned PyPI artifacts.
+Signed releases/Sigstore, reproducible builds и checksum policy.
+Agentless fleet mode или MDM/Ansible integration.
+Verified maintainer/org, security policy и disclosure process.
+Curated threat intel pipeline вместо ручных community lists.
+Remediation automation и безопасный quarantine workflow.
+False-positive management, dashboards и multi-host reporting.
⚖ ЛИЦЕНЗИЯ · МОЖНО ЛИ КОММЕРЦИАЛИЗИРОВАТЬ
GPL-3.0: можно продавать поддержку, hosted service, consulting и managed feed. Нельзя без GPL-обязательств взять код, модифицировать и распространять закрытый коммерческий endpoint agent. Для закрытого продукта проще переписать с нуля, проверить лицензируемость data/IOCs или договариваться с автором о dual license.
Риски и подводные камни
ВЫСОКИЙМАЛЫЙ РЫНОК
Arch/AUR enterprise footprint мал; большинство индивидуальных пользователей не платит.
ВЫСОКИЙКОНКУРЕНЦИЯ
Socket, Sonatype, Aikido, Endor и другие vendors решают malicious packages шире; OSS-форки легко повторяют AUR scanner.
СРЕДНИЙЛИЦЕНЗИЯ
GPL-3.0 разрешает коммерческое использование, но закрытые distributed derivatives должны соблюдать GPL и раскрывать исходники производного кода. SaaS без распространения не попадает под AGPL-style network copyleft, но embedded closed agent проблемен.
ВЫСОКИЙЗАВИСИМОСТЬ ОТ АВТОРА
Security tool запускается локально, иногда root; maintainer не verified, нет релизов, проект новый.
СРЕДНИЙПРОЧЕЕ
IOC freshness критична; если кампания закончилась, usage быстро падает.
СРЕДНИЙПРОЧЕЕ
Scanner по IOCs не доказывает чистоту rootkit-compromised host и может давать false assurance.
СРЕДНИЙПРОЧЕЕ
Для B2B нужны fleet management, audit logs, policy engine, support и compliance docs.
+Коммерческие цены и scale взяты из уже собранного анализа и не перепроверялись заново.
+Часть scale-метрик по vendors подтверждена одним источником или vendor/blog/filing, а не двумя независимыми источниками.
+Snyk ARR/customer count взят из Sacra estimate и отмечен как неофициальная оценка.
+Sonatype scale основан на старых/косвенных данных 2017 и Maven Central context, поэтому актуальность ограничена.
+GitHub Advanced Security exact add-on price и customer count не подтверждены публичной vendor-страницей в собранных данных.
+Mend.io и Endor Labs scale/funding в собранных pricing данных не подтверждены.
+Оценки demand/capture/access являются аналитическим суждением на основе собранных фактов, а не измеренной финансовой моделью.
+Юридический вывод по GPL-3.0 является практической интерпретацией open-source licensing, не юридической консультацией.
+Звёзды OSS-аналогов взяты из собранного разбора и могут быстро меняться.
+Рынок AppSec/SCA/supply-chain security описан по market reports из собранного анализа; эти размеры рынков не подтверждены двумя независимыми источниками на каждую цифру.
lenucksi/aur-malware-check собрал 8 звёзд за окно, тогда как у автора всего 0 подписчиков — эффективная аудитория ≈ 211. Это даёт surprise-индекс 0.0319 (звёзды относительно охвата автора, а не в абсолюте). Удержание форков 0.0% и 0 внешних контрибьюторов отделяют реальный инструмент от разовой вспышки. Акселерация положительная — рост ещё не выдохся.