Tömeges kompromittálás történt az AUR (Arch User Repository) csomagjaiban, amelyet az Arch Linux harmadik fél fejlesztőitől származó alkalmazások terjesztésére használnak. A támadók 469 csomag felett vették át az irányítást, és képesek voltak kártékony kódot beépíteni, hogy ellopják a felhasználói rendszerek jelszavait és hozzáférési kulcsait. A kártékony kód többek között az AUR-on keresztül elérhető ALVR csomagba került, amely népszerű a számítógép-játékosok körében.
A támadók átvették a „árva” állapotú csomagok kezelését, amelyeknek nem volt támogatásuk. Az utolsó támogató nevét használták, de más email címet adtak meg, majd egy kötelező frissítést tettek közzé. A kötelező frissítés az „npm”-t a PKGBUILD függőségei közé adta, és a post_install szkript install.sh blokkjába beszúrt egy sort, amely több NPM-csomag telepítésére vonatkozott. Az NPM-csomagok között egy vagy több népszerű, legális csomag és a kártékony szoftvert tartalmazó atomic-lockfile csomag volt. Az NPM-csomagok telepítése minden kompromittált projektre kiterjedt, függetlenül attól, hogy használtak-e JavaScript-et és NPM-t.
A kártékony szoftver aktiválása után a rendszerben systemd szolgáltatásként rögzítésre került, véletlenszerű név alatt, és a kernel folyamat álcázása alatt futott. Root jogosultságokkal való futtatáskor a szolgáltatás a rendszer szintjén jött létre (/etc/systemd/system), és további rootkitet aktivált a kernel szinten, míg felhasználói jogokkal való futtatásakor a felhasználó nevében indult (~/.config/systemd/user). A kártékony szoftver folyamatosan szkennelte és küldte az adatokat a külső szerver VPN, Docker, Podman és SSH kulcsait és hitelesítő adatait, valamint a böngészőből kinyert érzékeny adatokat, a shell parancsok történetét, a kriptovaluta pénztárcák kulcsait, a Slack, Microsoft Teams, Discord, GitHub, NPM és Vault hozzáférési tokenjeit.
Forrás: opennet.ru
