È stata registrata una compromissione di massa dei pacchetti nel repository AUR (Arch User Repository), utilizzato in Arch Linux per la distribuzione di applicazioni da sviluppatori di terze parti. Gli attaccanti hanno ottenuto il controllo su 469 pacchetti e hanno potuto inserire codice maligno per rubare password e chiavi di accesso dai sistemi degli utenti. Tra le altre cose, il codice maligno è stato integrato nel pacchetto ALVR fornito tramite AUR, popolare tra gli appassionati di videogiochi.
Gli aggressori hanno preso in carico il supporto dei pacchetti con stato "orphaned" e senza supporto. Come nome veniva indicato il nome dell'ultimo supporto, ma con un altro email; successivamente veniva aggiunto un commit e pubblicato un aggiornamento. Il commit aggiungeva "npm" all'elenco delle dipendenze di PKGBUILD e inseriva nel blocco post_install dello script install.sh una riga per installare diversi pacchetti NPM. Tra i pacchetti NPM installati vi erano uno o più pacchetti legittimi e il pacchetto atomic-lockfile, contenente malware nascosto. L'aggiunta dell'installazione dei pacchetti NPM veniva effettuata in tutti i progetti compromessi, anche se non utilizzavano JavaScript e NPM.
Dopo l'attivazione, il malware si stabiliva nel sistema come un servizio systemd con un nome casuale e, durante l'esecuzione, si camuffava come un flusso del kernel. Quando avviato con diritti di root, il servizio veniva creato a livello di sistema (/etc/systemd/system) e attivava ulteriormente un rootkit in esecuzione a livello di kernel, mentre se eseguito con diritti utente veniva avviato a nome dell'utente (~/.config/systemd/user). Il malware effettuava la scansione e inviava dati a un destinatario esterno. un server chiavi e credenziali VPN, Docker, Podman e SSH, oltre ai dati riservati estratti dal browser, la cronologia dei comandi nella shell, le chiavi dei portafogli di criptovalute, i token di accesso a Slack, Microsoft Teams, Discord, GitHub, NPM e Vault.
Fonte: opennet.ru
