В репозитория AUR (Arch User Repository), използван в Arch Linux за разпространение на пакети от трети страни, бяха открити три злонамерени пакета firefox-patch-bin, librewolf-fix-bin и zen-browser-patched-bin, съдържащи модифицирани версии на браузърите Firefox, Librewolf и Zen. Имената на пакетите наподобяваха легитимните пакети firefox-bin, librewolf-bin и zen-browser-bin, поддържани от ентусиасти в AUR.
В пакетите в файла PKGBUILD имаше линк към пачове, изтегляни от външни репозитории на GitHub (zenbrowser-patch, youtube-viewbot). Пачовете внасяха промяна в инсталационния процес, водеща до стартиране на скрипт на Python за инсталиране на троян Chaos. Троянът позволявал отдалечен достъп до системата, изпращал на външни сървър конфиденциални файлове и изпълнявал команди, например за копаене на криптовалута. Злонамереният изпълним файл се разполагаше като /usr/local/share/systemd-initd и се стартираше чрез услугата custom-initd.service, копирана в каталога на systemd. При липса на root права по време на инсталацията, троянът беше поставен в домашния каталог на потребителя (~/.local/share/systemd-initd).
Злонамерените пакети бяха разположени в репозитория AUR на 16 юли около 23 часа (MSK). За популяризиране на злонамерените пакети на 18 юли в 15 часа (MSK) беше стартирана спам кампания. Например, за да насърчат инсталацията, в бележките за събиране с браузера Zen беше отбелязано решението на критични проблеми със стабилността и рендеринга, както и отстраняването на течове на памет.
Пакетите бяха премахнати от администраторите на репозитория на 18 юли в 19 часа (MSK). Почти веднага потребителите на репозитория забелязаха още четири злонамерени пакета minecraft-cracked, ttf-all-ms-fonts, ttf-ms-fonts-all и vesktop-bin-patched, овладени под друг акаунт около 21 часа на 18 юли (MSK). Към момента на написването на новината, тези пакети вече са премахнати от репозитория.
Източник: opennet.ru
