V repozitári AUR (Arch User Repository), ktorý používa Arch, bola zistená rozsiahla kompromitácia balíkov. Linux na distribúciu aplikácií tretích strán. Útočníci získali kontrolu nad 469 balíkmi a dokázali do nich vložiť škodlivý kód na ukradnutie hesiel a prístupových kľúčov zo systémov používateľov. Škodlivý kód bol okrem iného integrovaný do balíka ALVR, ktorý je distribuovaný prostredníctvom AUR a je obľúbený medzi počítačovými hráčmi.
Útočníci prevzali správu balíkov so statusom „osirotený“ a bez správcov. Použili meno posledného správcu, ale inú e-mailovú adresu, potom pridali jeden commit a publikovali aktualizáciu. Commit pridal „npm“ do zoznamu závislostí PKGBUILD a vložil riadok do bloku post_install skriptu install.sh na inštaláciu niekoľkých balíkov NPM. Nainštalované balíky NPM obsahovali jeden alebo viac populárnych legitímnych balíkov a balík atomic-lockfile, ktorý obsahoval skrytý malvér. Inštalácia balíka NPM bola pridaná do všetkých napadnutých projektov, dokonca aj do tých, ktoré nepoužívali JavaScript ani NPM.
Po aktivácii malvér pretrvával v systéme ako náhodne pomenovaná služba systemd a po spustení sa maskoval ako vlákno jadra. Pri spustení s oprávneniami root sa služba vytvorila na úrovni systému (/etc/systemd/system) a navyše aktivovala rootkit na úrovni jadra. Pri spustení s oprávneniami používateľa sa spúšťala od používateľa (~/.config/systemd/user). Malvér skenoval a odosielal správy na externý server. server Kľúče a prihlasovacie údaje VPN, Docker, Podman a SSH, ako aj citlivé údaje extrahované z prehliadača, história príkazov shellu, kľúče kryptomenových peňaženiek a prístupové tokeny pre Slack, Microsoft Teams, Discord, GitHub, NPM a Vault.
Zdroj: opennet.ru
