Der er registreret en massiv kompromittering af pakker i AUR (Arch User Repository), der anvendes i Arch Linux til distribution af applikationer fra tredjepartsudviklere. Angriberne fik kontrol over 469 pakker og kunne indsætte skadelig kode til at stjæle adgangskoder og adgangsnøgler fra brugernes systemer. Blandt andet var den skadelige kode integreret i den gennem AUR leverede pakke ALVR, der er populær blandt gamere.
Angriberne tog ansvaret for pakker, der havde status som 'orphaned' og manglede vedligeholdelse. De angav navnet på den seneste vedligeholder, men brugte en anden e-mail, hvorefter der blev tilføjet et commit og offentliggjort en opdatering. Commit'en tilføjede 'npm' til listen over afhængigheder i PKGBUILD og indsatte en linje i post_install-blokken af install.sh-scriptet for at installere flere NPM-pakker. Blandt de installerede NPM-pakker var der en eller flere populære legitime pakker og pakken atomic-lockfile, som indeholdt skjult malware. Installation af NPM-pakker blev tilføjet til alle kompromitterede projekter, selv hvis de ikke brugte JavaScript og NPM.
Når malware blev aktiveret, blev det forankret i systemet som en systemd-tjeneste med et tilfældigt navn og camouflage som kerneflow. Ved kørsel med root-rettigheder blev tjenesten oprettet på systemniveau (/etc/systemd/system) og aktiverede desuden en rootkit, der kørte på kernens niveau, mens det ved kørsel med brugerrrettigheder blev startet under brugerens navn (~/.config/systemd/user). Malware'en udførte scanning og sendte data til eksterne server nøgler og legitimationsoplysninger til VPN, Docker, Podman og SSH, samt fortrolige data udvundet fra browseren, kommandohistorik i shell, nøgler til kryptovaluta-tegnebøger, adgangstokener til Slack, Microsoft Teams, Discord, GitHub, NPM og Vault.
Kilde: opennet.ru
