Det har registrerats en massiv kompromiss av paket i AUR (Arch User Repository), som används i Arch Linux för distribution av applikationer från tredjepartsutvecklare. Angriparna fick kontroll över 469 paket och kunde infoga skadlig kod för att stjäla användarnas lösenord och åtkomstnycklar. Bland annat integrerades skadlig kod i paketet ALVR, som är populärt bland datorspelare.
Angriparna tog över underhållet av paket som hade statusen "orphaned" och saknade underhållare. Som namn angavs namnet på den senaste underhållaren, men med en annan e-postadress, varefter en commit lades till och en uppdatering publicerades. Committet la till "npm" i listan över PKGBUILD-beroenden och infogade en rad i post_install-blocket av install.sh-skriptet för att installera flera NPM-paket. Bland de installerade NPM-paketen fanns ett eller flera populära legitima paket och paketet atomic-lockfile, som innehöll dold skadlig programvara. Tillägget av installation av NPM-paket gjordes i alla komprometterade projekt, även om de inte använde JavaScript och NPM.
Efter aktivering etablerade sig den skadliga programvaran i systemet som en systemd-tjänst med ett slumpmässigt namn och camouflerades som en kärnström. När den kördes med root-rettigheter skapades tjänsten på systemnivå (/etc/systemd/system) och aktiverade dessutom en rootkit som kördes på kärnnivå, medan den vid användaråtkomst kördes under användarnamnet (~/.config/systemd/user). Den skadliga programvaran utförde scanning och skickade vidare server VPN-nycklar och autentisering, Docker, Podman och SSH, samt konfidentiella data extraherade från webbläsaren, kommandohistorik i shell, kryptovaluta-plånboksnycklar, åtkomsttoken för Slack, Microsoft Teams, Discord, GitHub, NPM och Vault.
Källa: opennet.ru
