È stata registrata una compromissione massiccia dei pacchetti nel repository AUR (Arch User Repository), utilizzato in Arch Linux per la distribuzione di applicazioni da sviluppatori esterni. Gli attaccanti hanno ottenuto il controllo su 469 pacchetti e sono riusciti a inserire codice dannoso per rubare password e chiavi di accesso dai sistemi degli utenti. Tra l'altro, il codice dannoso è stato integrato nel pacchetto ALVR fornito attraverso AUR, popolare tra gli appassionati di videogiochi.
Gli attaccanti hanno assunto la gestione dei pacchetti con lo stato "orphaned" e privi di manutentori. Come nome veniva indicato il nome dell'ultimo manutentore, ma con un'email diversa, dopo di che veniva aggiunto un commit e pubblicato un aggiornamento. Il commit aggiungeva "npm" nella lista delle dipendenze di PKGBUILD e inseriva nel blocco post_install dello script install.sh una riga per l'installazione di diversi pacchetti NPM. Tra i pacchetti NPM installati c'erano uno o più pacchetti legittimi popolari e il pacchetto atomic-lockfile, contenente un malware nascosto. L'aggiunta dell'installazione dei pacchetti NPM avveniva in tutti i progetti compromessi, anche se non utilizzavano JavaScript e NPM.
Dopo l'attivazione, il malware si radicava nel sistema come servizio systemd con un nome casuale e si camuffava come un flusso del kernel. Quando eseguito con i diritti di root, il servizio veniva creato a livello di sistema (/etc/systemd/system) e attivava ulteriormente un rootkit a livello di kernel, mentre se eseguito con i diritti dell'utente veniva avviato a nome dell'utente (~/.config/systemd/user). Il malware eseguiva la scansione e inviava all'esterno server chiavi e credenziali VPN, Docker, Podman e SSH, nonché dati riservati estratti dal browser, storia dei comandi nel shell, chiavi dei portafogli delle criptovalute, token di accesso a Slack, Microsoft Teams, Discord, GitHub, NPM e Vault.
Fonte: opennet.ru
