Es wurde eine umfassende Kompromittierung von Paketen im AUR (Arch User Repository) festgestellt, das in Arch Linux zum Verteilen von Anwendungen von Drittentwicklern verwendet wird. Angreifer erlangten die Kontrolle \u00fcber 469 Pakete und konnten darin b\u00f6sartigen Code einf\u00fcgen, um Passw\u00f6rter und Zugangsschl\u00fcssel von Benutzersystemen zu stehlen. Unter anderem wurde b\u00f6sartiger Code in das \u00fcber AUR bereitgestellte Paket ALVR integriert, das bei Computerspielern beliebt ist.<\/p>\n
Die Angreifer \u00fcbernahmen die Begleitung von Paketen mit dem Status \u201eorphaned\u201c und ohne Begleiter. Als Name wurde der Name des letzten Begleiters angegeben, jedoch eine andere E-Mail, nach der ein Commit hinzugef\u00fcgt und ein Update ver\u00f6ffentlicht wurde. Das Commit f\u00fcgte \u201enpm\u201c zur Liste der Abh\u00e4ngigkeiten in PKGBUILD hinzu und f\u00fcgte im post_install-Block des Installationsskripts install.sh eine Zeile zum Installieren mehrerer NPM-Pakete ein. Unter den installierten NPM-Paketen waren eines oder mehrere beliebte legitime Pakete sowie das Paket atomic-lockfile, das versteckte Malware enthielt. Die Installation von NPM-Paketen wurde in alle kompromittierten Projekte eingef\u00fcgt, selbst wenn sie kein JavaScript und NPM verwendeten. <\/p>\n
Nach der Aktivierung wurde die Malware im System als systemd-Dienst mit einem zuf\u00e4lligen Namen verankert und tarnte sich bei der Ausf\u00fchrung als Teil des Kernelstroms. Bei der Ausf\u00fchrung mit Root-Rechten wurde der Dienst auf Systemebene (\/etc\/systemd\/system) erstellt und aktivierte zus\u00e4tzlich ein auf Kernel-Ebene arbeitendes Rootkit, w\u00e4hrend bei der Ausf\u00fchrung mit Benutzerrechten der Dienst im Namen des Benutzers (~\/.config\/systemd\/user) gestartet wurde. Die Malware f\u00fchrte Scans durch und \u00fcberwachte externe Server<\/a> Schl\u00fcssel und Anmeldeinformationen f\u00fcr VPN, Docker, Podman und SSH sowie aus dem Browser extrahierte vertrauliche Daten, die Befehlsverl\u00e4ufe im Shell, Schl\u00fcssel von Kryptow\u00e4hrungsb\u00f6rsen, Zugangstoken f\u00fcr Slack, Microsoft Teams, Discord, GitHub, NPM und Vault beinhalteten. \u0417\u0430\u0444\u0438\u043a\u0441\u0438\u0440\u043e\u0432\u0430\u043d\u0430 \u043c\u0430\u0441\u0441\u043e\u0432\u0430\u044f \u043a\u043e\u043c\u043f\u0440\u043e\u043c\u0435\u0442\u0430\u0446\u0438\u044f \u043f\u0430\u043a\u0435\u0442\u043e\u0432 \u0432 \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u0438 AUR (Arch User Repository), \u043f\u0440\u0438\u043c\u0435\u043d\u044f\u0435\u043c\u043e\u043c \u0432 Arch Linux \u0434\u043b\u044f \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u0438\u044f \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0439 \u043e\u0442 \u0441\u0442\u043e\u0440\u043e\u043d\u043d\u0438\u0445 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u043e\u0432. \u0410\u0442\u0430\u043a\u0443\u044e\u0449\u0438\u0435 \u043f\u043e\u043b\u0443\u0447\u0438\u043b\u0438 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c \u043d\u0430\u0434 469 \u043f\u0430\u043a\u0435\u0442\u0430\u043c\u0438 \u0438 \u0441\u043c\u043e\u0433\u043b\u0438 \u0432\u043d\u0435\u0434\u0440\u0438\u0442\u044c \u0432 \u043d\u0438\u0445 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0439 \u043a\u043e\u0434 \u0434\u043b\u044f \u043a\u0440\u0430\u0436\u0438 \u043f\u0430\u0440\u043e\u043b\u0435\u0439 \u0438 \u043a\u043b\u044e\u0447\u0435\u0439 \u0434\u043e\u0441\u0442\u0443\u043f \u0441 \u0441\u0438\u0441\u0442\u0435\u043c \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439. \u0421\u0440\u0435\u0434\u0438 \u043f\u0440\u043e\u0447\u0435\u0433\u043e, \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0439 \u043a\u043e\u0434 \u0431\u044b\u043b \u0438\u043d\u0442\u0435\u0433\u0440\u0438\u0440\u043e\u0432\u0430\u043d \u0432 \u043f\u043e\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u043c\u044b\u0439 \u0447\u0435\u0440\u0435\u0437 AUR \u043f\u0430\u043a\u0435\u0442 ALVR, \u043f\u043e\u043f\u0443\u043b\u044f\u0440\u043d\u044b\u0439 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":8,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-182035","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47 Angreifer haben 469 Pakete im AUR kompromittiert | ProHoster","description":"Es wurde eine umfassende Kompromittierung von Paketen im AUR (Arch User Repository) festgestellt, das in Arch Linux zum Verteilen von Anwendungen von Drittentwicklern verwendet wird.","canonical_url":"https:\/\/prohoster.info\/de\/blog\/news\/atakuyushhie-skomprometirovali-469-paketov-v-repozitorii-aur","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0410\u0442\u0430\u043a\u0443\u044e\u0449\u0438\u0435 \u0441\u043a\u043e\u043c\u043f\u0440\u043e\u043c\u0435\u0442\u0438\u0440\u043e\u0432\u0430\u043b\u0438 469 \u043f\u0430\u043a\u0435\u0442\u043e\u0432 \u0432 \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u0438 AUR | ProHoster","og:description":"\u0417\u0430\u0444\u0438\u043a\u0441\u0438\u0440\u043e\u0432\u0430\u043d\u0430 \u043c\u0430\u0441\u0441\u043e\u0432\u0430\u044f \u043a\u043e\u043c\u043f\u0440\u043e\u043c\u0435\u0442\u0430\u0446\u0438\u044f \u043f\u0430\u043a\u0435\u0442\u043e\u0432 \u0432 \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u0438 AUR (Arch User Repository), \u043f\u0440\u0438\u043c\u0435\u043d\u044f\u0435\u043c\u043e\u043c \u0432 Arch Linux \u0434\u043b\u044f \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u0438\u044f \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0439 \u043e\u0442 \u0441\u0442\u043e\u0440\u043e\u043d\u043d\u0438\u0445 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u043e\u0432.","og:url":"https:\/\/prohoster.info\/de\/blog\/news\/atakuyushhie-skomprometirovali-469-paketov-v-repozitorii-aur","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2026-06-12T12:48:21+00:00","article:modified_time":"2026-06-12T12:48:21+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":[],"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/182035","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/8"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=182035"}],"version-history":[{"count":1,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/182035\/revisions"}],"predecessor-version":[{"id":182071,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/182035\/revisions\/182071"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=182035"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=182035"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=182035"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
\n
Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"