Oficiální webové stránky distribuce Xubuntu byl napaden neznámými útočníky, kteří na stránce pro stahování distribuce nahradili odkazy na torrenty souborem „https://xubuntu.org/wp-content/Xubuntu-Safe-Download.zip.“ V důsledku toho stránka pro stahování obsahovala pouze odkazy na škodlivý archiv a dostupná zrcadla. Vývojáři Xubuntu K situaci se zatím nevyjádřili, ale před pár hodinami odstranili škodlivý archiv a zablokovali přístup k sekci „x“.ubuntu.org/download/“, organizující přesměrování na hlavní stránku webu.
Pomocí služby archive.org, kopie xubuntuStránky s příponou .org byly vytvořeny 11. a 18. října – 11. října stránka ještě nebyla upravena, zatímco 18. října již škodlivá úprava existovala. Zrcadlové servery projektu, jejichž prostřednictvím jsou distribuovány obrazy ISO, nejsou ovlivněny a podle předběžné analýzy kontrolního součtu odpovídají referenčnímu obrazu cdimage.ubuntu.com. Stopy po kompromitaci byly zatím zaznamenány pouze na webových stránkách x.ubuntu.org s použitím systém pro správu obsahu WordPressK útoku došlo údajně prostřednictvím zastaralého pluginu WorkPress, který obsahoval zranitelnost.
Archiv „X“ distribuovaný útočníkyubuntu„-Safe-Download.zip“ obsahuje spustitelný soubor pro platformu Windows, který je prezentován jako instalační program XubuntuSkenování zadaného souboru pomocí služby VirusTotal ukazuje přítomnost malwaru.
Po spuštění spustitelného souboru se zobrazí fiktivní rozhraní, které obsahuje pole pro výběr verze distribuce ke stažení a typu balíčku, a také tlačítko „Generovat odkaz pro stažení“. Kliknutím na toto tlačítko se soubor „elzvcf.exe“ uloží do adresáře „AppData Roaming“ a registru. Windows Je nakonfigurován tak, aby se spouštěl při startu systému. Podle předběžných informací malware analyzuje data ve schránce a nahrazuje adresy krypto peněženek Bitcoin, Litecoin, Ethereum, Dogecoin, Tron, Ripple a Cardano adresami útočníků.
Je zajímavé, že 10. září si jeden uživatel stěžoval na zobrazení blogového příspěvku na webu x.ubuntu.org s reklamou na kasino, ale příspěvek na blogu byl rychle smazán a incident se dále neřešil (pravděpodobně se předpokládalo, že reklamu vložil malware na straně uživatele).
Zdroj: opennet.ru
