Официалният сайт на дистрибуцията Xubuntu е компрометиран от неизвестни злосторници, които на страницата за изтегляне на дистрибуцията смениха линковете, водещи към торенти, с файл „https://xubuntu.org/wp-content/Xubuntu-Safe-Download.zip“. В резултат на това на страницата за изтегляне останаха само линкове към зловреден архив и налични огледала. Разработчиците на Xubuntu все още не коментирали ситуацията, но преди няколко часа премахнали зловредния архив и блокирали достъпа до секцията „xubuntu.org/download/“, организирайки пренасочване към началната страница на сайта.
Чрез услугата archive.org копия на xubuntu.org са направени на 11 и 18 октомври — на 11 октомври страницата все още не е била променена, а на 18 октомври вече има зловредна промяна. Огледалата на проекта, чрез които се разпространяват iso-образите, по предварителен анализ на контролни суми не са пострадали и отговарят на еталонния cdimage.ubuntu.com. Следи от компрометация до момента са забелязани само на сайта xubuntu.org, който използва система за управление на съдържание WordPress. Предполага се, че хакването е извършено чрез неактуализиран плъгин за WordPress, съдържащ уязвимост.
Разпространяваният от злосторниците архив „Xubuntu-Safe-Download.zip“ съдържа изпълним файл за платформата Windows, който се представя като инсталатор на Xubuntu. Проверка на посочения файл в услугата VirusTotal показва наличие на зловреден софтуер.
При стартиране на изпълнимия файл се показва фалшив интерфейс, включващ полета за избор на версия за изтегляне на дистрибуцията и тип пакет, както и бутон „Generate Download Link“. При натискане на бутона, в каталога „AppData Roaming“ се запазва файл „elzvcf.exe“ и в регистъра на Windows се настройва неговото изпълнение при стартиране на системата. По предварителна информация, зловредният софтуер анализира данните в клипборда и заменя адресите на криптокошелците Bitcoin, Litecoin, Ethereum, Dogecoin, Tron, Ripple и Cardano с тези на злосторниците.
Интересно е, че на 10 септември един от потребителите се оплака от появата на запис в блога на сайта xubuntu.org с реклама на казино, но този запис в блога беше бързо изтрит и инцидентът не получи развитие (вероятно, считали, че рекламата е била подставена от зловреден софтуер на страната на потребителя).
Източник: opennet.ru
