Атакующие скомпрометировали 469 пакетов в AUR, включая ALVR, подставив вредоносные NPM-пакеты

Зафиксирована массовая компрометация пакетов в репозитории AUR (Arch User Repository). Атакующие получили контроль над 469 пакетами, оставшимися без сопровождающих (orphaned), взяв на себя их сопровождение. В качестве имени указывалось имя последнего сопровождающего, но другой email. Затем добавлялся один коммит и публиковалось обновление. Коммит добавлял «npm» в зависимости PKGBUILD и вставлял в post_install-блок строку для установки нескольких NPM-пакетов.

Среди устанавливаемых NPM-пакетов присутствовали популярные легитимные пакеты и вредоносные atomic-lockfile или js-digest. Установка NPM-пакетов добавлялась во все проекты, даже если в них не используется JavaScript и NPM. После активации вредоносное ПО закреплялось в системе как сервис systemd со случайным именем, камуфлируясь под поток ядра. При запуске с правами root сервис создавался в /etc/systemd/system и дополнительно активировал rootkit; при запуске от пользователя — в ~/.config/systemd/user.

Вредоносное ПО сканировало и отправляло на внешний сервер ключи и учётные данные VPN, Docker, Podman, SSH, конфиденциальные данные из браузера, историю команд в shell, ключи криптокошельков, токены доступа к Slack, Microsoft Teams, Discord, GitHub, NPM и Vault. Наиболее заметный скомпрометированный пакет — ALVR, популярный среди геймеров.

Linux / Линукс 🥸