Kerentanan paket data skala besar telah terdeteksi di repositori AUR (Arch User Repository) yang digunakan oleh Arch. Linux untuk mendistribusikan aplikasi pihak ketiga. Para penyerang memperoleh kendali atas 469 paket dan mampu menyuntikkan kode berbahaya ke dalamnya untuk mencuri kata sandi dan kunci akses dari sistem pengguna. Di antara hal-hal lain, kode berbahaya tersebut diintegrasikan ke dalam paket ALVR, yang didistribusikan melalui AUR dan populer di kalangan pemain game komputer.
Para penyerang mengambil alih pemeliharaan paket-paket dengan status "yatim piatu" dan tanpa pengelola. Mereka menggunakan nama pengelola terakhir tetapi alamat email yang berbeda, kemudian menambahkan satu commit dan menerbitkan pembaruan. Commit tersebut menambahkan "npm" ke daftar dependensi PKGBUILD dan menyisipkan baris ke dalam blok post_install dari skrip install.sh untuk menginstal beberapa paket NPM. Paket NPM yang diinstal termasuk satu atau lebih paket populer yang sah dan paket atomic-lockfile, yang berisi malware tersembunyi. Instalasi paket NPM ditambahkan ke semua proyek yang disusupi, bahkan yang tidak menggunakan JavaScript atau NPM.
Setelah diaktifkan, malware tersebut tetap berada di sistem sebagai layanan systemd dengan nama acak dan, saat dieksekusi, menyamarkan dirinya sebagai thread kernel. Saat dijalankan dengan hak akses root, layanan tersebut dibuat di tingkat sistem (/etc/systemd/system) dan juga mengaktifkan rootkit tingkat kernel. Saat dijalankan dengan hak akses pengguna, layanan tersebut berjalan sebagai pengguna (~/.config/systemd/user). Malware tersebut memindai dan mengirim pesan ke server eksternal. server Kunci dan kredensial VPN, Docker, Podman, dan SSH, serta data sensitif yang diekstrak dari browser, riwayat perintah shell, kunci dompet mata uang kripto, dan token akses untuk Slack, Microsoft Teams, Discord, GitHub, NPM, dan Vault.
Sumber: opennet.ru
