Byla zaznamenána masivní kompromitace balíčků v repozitáři AUR (Arch User Repository), který se používá v Arch Linuxu pro distribuci aplikací od třetích stran. Útočníci získali kontrolu nad 469 balíčky a dokázali do nich implementovat škodlivý kód pro krádež hesel a přístupových klíčů uživatelských systémů. Mezi jinými byl škodlivý kód integrován do balíčku ALVR distribuovaného přes AUR, který je oblíbený mezi počítačovými hráči.
Útočníci převzali správu balíčků, které měly status „orphaned“ a zůstaly bez správců. Jako jméno byl uveden poslední správce, ale s jiným e-mailem, poté byl přidán jeden commit a publikována aktualizace. Commit přidal „npm“ do seznamu závislostí PKGBUILD a vložil do bloku post_install skriptu install.sh řádek pro instalaci několika NPM balíčků. Mezi instalovanými NPM balíčky byly jeden nebo více populárních legitimních balíčků a balíček atomic-lockfile, obsahující skryté škodlivé software. Přidání instalace NPM balíčků bylo provedeno ve všech kompromitovaných projektech, i když v nich nebyl použit JavaScript a NPM.
Po aktivaci se škodlivý software upevnil v systému jako služba systemd s náhodným jménem a při spuštění se maskoval jako jádrový proud. Při spuštění s právy root byla služba vytvořena na systémové úrovni (/etc/systemd/system) a navíc aktivovala pracující na úrovni jádra rootkit, zatímco při spuštění s právy uživatele byla spuštěna pod jménem uživatele (~/.config/systemd/user). Škodlivý software prováděl skenování a odesílal na externí server klíče a přihlašovací údaje VPN, Docker, Podman a SSH, stejně jako získaná z prohlížeče důvěrná data, historii příkazů v shellu, klíče kryptoměnových peněženek, tokeny přístupu k Slacku, Microsoft Teams, Discordu, GitHubu, NPM a Vaultu.
Zdroj: opennet.ru
