Foi registrada uma massiva compromissão de pacotes no repositório AUR (Arch User Repository), utilizado no Arch Linux para a distribuição de aplicações de desenvolvedores terceiros. Os atacantes obtiveram controle sobre 469 pacotes e conseguiram inserir código malicioso para roubo de senhas e chaves de acesso dos sistemas dos usuários. Entre outras coisas, o código malicioso foi integrado ao pacote ALVR, fornecido via AUR, popular entre entusiastas de jogos de computador.
Os atacantes assumiram o acompanhamento de pacotes com status 'orphaned' e que estavam sem mantenedores. O nome indicado era o do último mantenedor, mas com um e-mail diferente, após o que um commit era adicionado e uma atualização publicada. O commit adicionava 'npm' à lista de dependências do PKGBUILD e inseria no bloco post_install do script install.sh uma linha para instalação de vários pacotes NPM. Entre os pacotes NPM instalados estavam um ou mais pacotes legítimos populares e o pacote atomic-lockfile, que continha malware oculto. A adição de instalação de pacotes NPM foi feita em todos os projetos comprometidos, mesmo que não utilizassem JavaScript e NPM.
Após a ativação, o malware se fixava no sistema na forma de um serviço systemd com um nome aleatório e, ao ser executado, se camuflava como um fluxo do núcleo. Quando iniciado com direitos de root, o serviço era criado em nível de sistema (/etc/systemd/system) e ativava adicionalmente um rootkit funcionando no nível do núcleo; ao ser executado com direitos de usuário, era iniciado em nome do usuário (~/.config/systemd/user). O malware realizava escaneamento e envio de dados para fora. servidor chaves e credenciais de VPN, Docker, Podman e SSH, bem como dados confidenciais extraídos do navegador, histórico de comandos no shell, chaves de carteiras de criptomoedas, tokens de acesso ao Slack, Microsoft Teams, Discord, GitHub, NPM e Vault.
Fonte: opennet.ru
