V repozitáři AUR (Arch User Repository), který se používá v Arch Linuxu k distribuci balíčků od třetích stran, byly zjistěny tři škodlivé balíčky firefox-patch-bin, librewolf-fix-bin a zen-browser-patched-bin, obsahující modifikované verze prohlížečů Firefox, Librewolf a Zen. Názvy balíčků připomínaly legitimní balíčky firefox-bin, librewolf-bin a zen-browser-bin, které spravují nadšenci v AUR.
V balíčcích v souboru PKGBUILD byla přítomna odkazy na patche stahované z externích repozitářů na GitHubu (zenbrowser-patch, youtube-viewbot). Patche prováděly změny v instalačním procesu, které vedly k spuštění skriptu v jazyce Python pro instalaci trojského koně Chaos. Trojský kůň umožnil získat vzdálený přístup k systému, posílat na externí server důvěrné soubory a vykonávat příkazy, například pro těžbu kryptoměn. Škodlivý spustitelný soubor byl umístěn jako /usr/local/share/systemd-initd a spouštěn pomocí služby custom-initd.service, která byla zkopírována do adresáře se systemd. Při absenci práv root během instalace byl trojský kůň umístěn do domovského adresáře uživatele (~/.local/share/systemd-initd).
Škodlivé balíčky byly umístěny v repozitáři AUR 16. července přibližně ve 23 hodin (MSK). Pro propagaci škodlivých balíčků byla 18. července ve 15 hodin (MSK) spuštěna spamová kampaň. Například pro podporu instalace byla v poznámce k sestavení prohlížeče Zen uvedena řešení kritických problémů se stabilitou a vykreslováním, stejně jako odstranění úniků paměti.
Balíčky byly odstraněny správci repozitáře 18. července v 19 hodin (MSK). Téměř okamžitě si uživatelé repozitáře všimli dalších čtyř škodlivých balíčků minecraft-cracked, ttf-all-ms-fonts, ttf-ms-fonts-all a vesktop-bin-patched, umístěných pod jiným účtem přibližně v 21 hodin 18. července (MSK). K моментu psaní této zprávy jsou tyto balíčky již odstraněny z repozitáře.
Zdroj: opennet.ru
