Arch колдонгон AUR (Arch User Repository) репозиторийинде пакеттин чоң көлөмдө бузулушу аныкталды. Linux үчүнчү тараптын тиркемелерин таратуу үчүн. Чабуулчулар 469 пакетти көзөмөлдөп, аларга зыяндуу кодду киргизип, колдонуучулардын системаларынан сырсөздөрдү жана кирүү ачкычтарын уурдай алышкан. Башка нерселер менен катар, зыяндуу код AUR аркылуу таратылган жана компьютер оюнчулары арасында популярдуу болгон ALVR пакетине интеграцияланган.
Чабуулчулар "жетим" статусундагы жана тейлөөчүлөрү жок пакеттерди тейлөөнү өз мойнуна алышкан. Алар акыркы тейлөөчүнүн атын, бирок башка электрондук почта дарегин колдонушкан, андан кийин бир гана коммитти кошуп, жаңыртууну жарыялашкан. Коммит PKGBUILD көз карандылык тизмесине "npm" кошуп, бир нече NPM пакеттерин орнотуу үчүн install.sh скриптинин post_install блогуна сап киргизген. Орнотулган NPM пакеттеринин курамында бир же бир нече популярдуу мыйзамдуу пакеттер жана жашыруун зыяндуу программа камтылган atomic-lockfile пакети болгон. NPM пакетин орнотуу бардык бузулган долбоорлорго, атүгүл JavaScript же NPM колдонбогон долбоорлорго да кошулган.
Активдештирилгенден кийин, зыяндуу программа системада кокустук аталыштагы systemd кызматы катары сакталып калган жана аткарылганда өзүн ядронун жиби катары көрсөткөн. Root артыкчылыктары менен иштетилгенде, кызмат система деңгээлинде түзүлгөн (/etc/systemd/system) жана ядро деңгээлиндеги руткит кошумча түрдө иштетилген. Колдонуучунун артыкчылыктары менен иштетилгенде, ал колдонуучу (~/.config/systemd/user) катары иштеген. Зыяндуу программа сканерлеп, билдирүүлөрдү тышкы серверге жөнөткөн. Server VPN, Docker, Podman жана SSH ачкычтары жана грамоталары, ошондой эле браузерден алынган купуя маалыматтар, shell буйруктарынын тарыхы, криптовалюта капчык ачкычтары жана Slack, Microsoft Teams, Discord, GitHub, NPM жана Vault үчүн кирүү токендери.
Source: opennet.ru
