Oficiální stránka distribuce Xubuntu byla kompromitována neznámými útočníky, kteří na stránce pro stahování změnili odkazy, vedoucí na torrenty, na soubor „https://xubuntu.org/wp-content/Xubuntu-Safe-Download.zip“. Na stránce pro stahování tak zůstaly pouze odkazy na škodlivý archiv a dostupné zrcadla. Vývojáři Xubuntu zatím situaci nekomentovali, ale před několika hodinami odstranili škodlivý archiv a zablokovali přístup k sekci „xubuntu.org/download/“, přesměrovali na hlavní stránku webu.
Služba archive.org vytvořila kopie xubuntu.org 11. a 18. října — 11. října stránka ještě nebyla změněna, zatímco 18. října již obsahuje škodlivou úpravu. Zrcadla projektu, přes která se šíří iso-obrazy, podle předběžné analýzy kontrolních součtů nebyla poškozena a odpovídají etalonnímu cdimage.ubuntu.com. Stopy kompromitace byly zatím zaznamenány pouze na webu xubuntu.org, který používá systém řízení obsahu WordPress. Předpokládá se, že útok byl proveden prostřednictvím neaktualizovaného pluginu WordPress, který obsahuje zranitelnost.
Škodlivý archiv „Xubuntu-Safe-Download.zip“ obsahuje spustitelný soubor pro platformu Windows, který se vydává za instalátor Xubuntu. Kontrola uvedeného souboru na službě VirusTotal ukazuje přítomnost škodlivého softwaru.
Při spuštění spustitelného souboru se zobrazuje falešné rozhraní, které zahrnuje pole pro výběr verze distribuce ke stažení a typu balíčku, a také tlačítko „Generate Download Link“. Po kliknutí na tlačítko se do adresáře „AppData Roaming“ uloží soubor „elzvcf.exe“ a v registru Windows se nastaví jeho spuštění při startu systému. Podle předběžných informací škodlivý software analyzuje data ve schránce a nahrazuje adresy kryptoměnových peněženek Bitcoin, Litecoin, Ethereum, Dogecoin, Tron, Ripple a Cardano adresami útočníků.
Je zajímavé, že 10. září si jeden z uživatelů stěžoval na příspěvek na blogu na webu xubuntu.org s reklamou na kasino, ale tento příspěvek byl rychle odstraněn a incident se nevyvinul dále (pravděpodobně považovali, že reklama byla podložena škodlivým softwarem na straně uživatele).
Zdroj: opennet.ru
