В AUR репозитория на Arch Linux бяха открити злонамерени пакети

В репозиториите AUR (Arch User Repository), използвани в Arch Linux за разпространение на пакети от независими разработчици, бяха установени три злонамерени пакета firefox-patch-bin, librewolf-fix-bin и zen-browser-patched-bin, съдържащи модифицирани версии на браузърите Firefox, Librewolf и Zen. Имената на пакетите наподобявали легитимни пакети firefox-bin, librewolf-bin и zen-browser-bin, поддържани от ентусиасти в AUR.

В пакетите в файла PKGBUILD имаше връзка към пачове, изтегляни от външни репозитории на GitHub (zenbrowser-patch, youtube-viewbot). Пачовете променяха инсталационния процес, като стартираха скрипт на Python за инсталиране на троян Chaos. Троянът позволяваше дистанционен достъп до системата, изпращайки на външни сървър конфиденциални файлове и изпълнявайки команди, например за копаене на криптовалута. Злонамереният изпълним файл беше поставен като /usr/local/share/systemd-initd и се стартираше чрез услугата custom-initd.service, копирана в директория с systemd. При липса на root права по време на инсталацията, троянът се поставяше в домашната директория на потребителя (~/.local/share/systemd-initd).

Злонамерените пакети бяха разположени в репозитория AUR на 16 юли около 23 часа (MSK). За промоция на злонамерените пакети на 18 юли в 15 часа (MSK) беше разположена спам кампания. Например, за да се стимулира инсталацията, в бележката към изграждането на браузъра Zen беше отбелязано, че са решени критични проблеми със стабилността и рендера, както и че са отстранени течовете на памет.

Пакетите бяха премахнати от администраторите на репозитория на 18 юли в 19 часа (MSK). Почти веднага потребителите на репозиторията забелязаха още четири злонамерени пакета minecraft-cracked, ttf-all-ms-fonts, ttf-ms-fonts-all и vesktop-bin-patched, публикувани под друга регистрация около 21 часа на 18 юли (MSK). Към момента на написването на новината тези пакети вече бяха премахнати от репозитория.

Източник: opennet.ru