Eine massive Kompromittierung von Paketen im AUR (Arch User Repository), das in Arch Linux zur Verbreitung von Anwendungen von Drittanbietern verwendet wird, wurde festgestellt. Angreifer erlangten Kontrolle über 469 Pakete und konnten schädlichen Code einfügen, um Passwörter und Zugangsschlüssel der Benutzersysteme zu stehlen. Unter anderem wurde der schädliche Code in das über AUR bereitgestellte Paket ALVR integriert, das bei Computer-Spielern sehr beliebt ist.
Die Angreifer übernahmen die Verwaltung von Paketen mit dem Status "orphaned", die ohne Begleiter blieben. Als Name wurde der letzte Begleiter angegeben, jedoch mit einer anderen E-Mail-Adresse. Anschließend wurde ein Commit hinzugefügt und ein Update veröffentlicht. Der Commit fügte "npm" zur Liste der Abhängigkeiten im PKGBUILD hinzu und fügte im post_install-Block des install.sh-Skripts eine Zeile ein, um mehrere NPM-Pakete zu installieren. Zu den installierten NPM-Paketen gehörten ein oder mehrere beliebte legale Pakete sowie das Paket atomic-lockfile, das versteckte Malware enthielt. Die Installation der NPM-Pakete wurde in alle kompromittierten Projekte integriert, auch wenn JavaScript und NPM darin nicht verwendet wurden.
Nach der Aktivierung wurde die Malware im System als systemd-Dienst mit einem zufälligen Namen implementiert und tarierte unter dem Kernstrom. Wenn sie mit Root-Rechten gestartet wurde, wurde der Dienst auf Systemebene (/etc/systemd/system) erstellt und aktivierte zudem einen im Kernel arbeitenden Rootkit. Bei Ausführung mit Benutzerrechten lief sie im Namen des Benutzers (~/.config/systemd/user). Die Malware führte Scans durch und sendete Daten an externe der Server VPN-Schlüssel und Anmeldedaten, Docker, Podman und SSH sowie extrahierte vertrauliche Daten aus dem Browser, Shell-Befehlsprotokolle, Kryptowährungs-Wallet-Schlüssel, Zugriffstokens für Slack, Microsoft Teams, Discord, GitHub, NPM und Vault.
Quelle: opennet.ru
