আক্রমণকারীরা AUR রিপোজিটরিতে থাকা ৪৬৯টি প্যাকেজ হ্যাক করেছে।

Arch কর্তৃক ব্যবহৃত AUR (Arch User Repository) রিপোজিটরিতে একটি ব্যাপক প্যাকেজ নিরাপত্তা লঙ্ঘন শনাক্ত করা হয়েছে। Linux তৃতীয় পক্ষের অ্যাপ্লিকেশন বিতরণের জন্য। আক্রমণকারীরা ৪৬৯টি প্যাকেজের নিয়ন্ত্রণ লাভ করে এবং ব্যবহারকারীদের সিস্টেম থেকে পাসওয়ার্ড ও অ্যাক্সেস কী চুরি করার জন্য সেগুলোতে ক্ষতিকারক কোড প্রবেশ করাতে সক্ষম হয়। অন্যান্য বিষয়ের মধ্যে, এই ক্ষতিকারক কোডটি ALVR প্যাকেজের সাথে একীভূত করা হয়েছিল, যা AUR-এর মাধ্যমে বিতরণ করা হয় এবং কম্পিউটার গেমারদের মধ্যে জনপ্রিয়।

আক্রমণকারীরা "অরফ্যানড" স্ট্যাটাস এবং রক্ষণাবেক্ষণকারীবিহীন প্যাকেজগুলোর রক্ষণাবেক্ষণের দায়িত্ব নিয়ে নেয়। তারা সর্বশেষ রক্ষণাবেক্ষণকারীর নাম ব্যবহার করলেও একটি ভিন্ন ইমেল ঠিকানা ব্যবহার করে, এরপর একটিমাত্র কমিট যোগ করে এবং একটি আপডেট প্রকাশ করে। এই কমিটটি PKGBUILD ডিপেন্ডেন্সি তালিকায় "npm" যোগ করে এবং বেশ কয়েকটি NPM প্যাকেজ ইনস্টল করার জন্য install.sh স্ক্রিপ্টের post_install ব্লকে একটি লাইন যুক্ত করে। ইনস্টল হওয়া NPM প্যাকেজগুলোর মধ্যে এক বা একাধিক জনপ্রিয় বৈধ প্যাকেজ এবং atomic-lockfile প্যাকেজ অন্তর্ভুক্ত ছিল, যেটিতে লুকানো ম্যালওয়্যার ছিল। এই NPM প্যাকেজ ইনস্টলেশনটি ক্ষতিগ্রস্ত সমস্ত প্রোজেক্টে যুক্ত করা হয়েছিল, এমনকি যেগুলোতে জাভাস্ক্রিপ্ট বা NPM ব্যবহার করা হতো না সেগুলোতেও।

একবার সক্রিয় হলে, ম্যালওয়্যারটি সিস্টেমে একটি এলোমেলো নামের systemd সার্ভিস হিসেবে থেকে যেত এবং চালু হলে নিজেকে একটি কার্নেল থ্রেড হিসেবে ছদ্মবেশ ধারণ করত। রুট প্রিভিলেজ দিয়ে চালালে, সার্ভিসটি সিস্টেম লেভেলে (/etc/systemd/system) তৈরি হতো এবং এর পাশাপাশি কার্নেল-লেভেলের রুটকিটও সক্রিয় করত। ইউজার প্রিভিলেজ দিয়ে চালালে, এটি ইউজার হিসেবে (~/.config/systemd/user) চলত। ম্যালওয়্যারটি একটি বাহ্যিক সার্ভার স্ক্যান করত এবং সেখানে বার্তা পাঠাত। সার্ভার ভিপিএন, ডকার, পডম্যান এবং এসএসএইচ-এর কী ও ক্রেডেনশিয়াল, সেইসাথে ব্রাউজার থেকে সংগৃহীত সংবেদনশীল ডেটা, শেল কমান্ড হিস্ট্রি, ক্রিপ্টোকারেন্সি ওয়ালেট কী এবং স্ল্যাক, মাইক্রোসফট টিমস, ডিসকর্ড, গিটহাব, এনপিএম ও ভল্ট-এর অ্যাক্সেস টোকেন।

উত্স: opennet.ru