Zabilježena je masovna kompromitacija paketa u AUR (Arch User Repository) repozitoriju, koji se koristi u Arch Linuxu za distribuciju aplikacija od strane nezavisnih programera. Napadači su preuzeli kontrolu nad 469 paketa i uspjeli uvesti zlonamjenski kod za krađu lozinki i pristupnih ključeva iz korisničkih sustava. Među ostalim, zlonamjenski kod bio je integriran u paket ALVR dostavljen kroz AUR, popularan među ljubiteljima računalnih igara.
Napadači su preuzeli brigu o paketima koji su imali status "orphaned" i ostali bez održavatelja. Kao ime se navodilo ime posljednjeg održavatelja, ali s drugom e-mail adresom, nakon čega je dodan jedan commit i objavljeno ažuriranje. Commit je dodao "npm" na popis zavisnosti PKGBUILD-a i umetnuo u post_install blok skripte install.sh liniju za instalaciju nekoliko NPM paketa. Među instaliranim NPM paketima bili su jedan ili više popularnih legitimnih paketa i paket atomic-lockfile, koji sadrži skrivenu zlonamjernu programski kod. Dodavanje instalacije NPM paketa obavljeno je na svim kompromitiranim projektima, čak i ako ne koriste JavaScript i NPM.
Nakon aktivacije, zlonamjerni softver srastao je u sustav kao systemd usluga s nasumičnim imenom i tijekom rada kamuflirao se kao protok jezgre. Kada se pokrene s root pravima, usluga se kreira na sustavnoj razini (/etc/systemd/system) i dodatno aktivira rootkit koji radi na razini jezgre, dok se pri izvođenju s pravima korisnika pokreće u ime korisnika (~/.config/systemd/user). Zlonamjerni softver provodi skeniranje i slanje na vanjski server ključeva i podataka za VPN, Docker, Podman i SSH, kao i povučenih iz preglednika povjerljivih podataka, povijesti naredbi u shellu, ključeva kriptovalutnih novčanika, tokena pristupa za Slack, Microsoft Teams, Discord, GitHub, NPM i Vault.
Izvor: opennet.ru
