I AUR (Arch User Repository), der anvendes i Arch Linux til distribution af pakker fra tredjepartsudviklere, er der opdaget tre ondsindede pakker: firefox-patch-bin, librewolf-fix-bin og zen-browser-patched-bin, som indeholder modificerede versioner af browserne Firefox, Librewolf og Zen. Pakke navnene mindede om legitime pakker firefox-bin, librewolf-bin og zen-browser-bin, der understøttes af entusiaster i AUR.
I pakkerne i PKGBUILD-filen var der et link til patches, der blev hentet fra eksterne GitHub-repositorier (zenbrowser-patch, youtube-viewbot). Disse patches ændrede installationsprocessen, hvilket førte til, at et Python-script blev kørt for at installere trojaneren Chaos. Trojaneren gav mulighed for at få fjernadgang til systemet, sende følsomme server filer til eksterne servere og udføre kommandoer, f.eks. til kryptovaluta-mining. Den ondsindede eksekverbare fil blev placeret som /usr/local/share/systemd-initd og blev kørt ved hjælp af tjenesten custom-initd.service, som blev kopieret til systemd-kataloget. Hvis der ingen root-rettigheder var under installationen, blev trojaneren placeret i brugerens hjemmekatalog (~/.local/share/systemd-initd).
De ondsindede pakker blev uploadet til AUR-repositoriet den 16. juli omkring kl. 23 (MSK). For at fremme de ondsindede pakker blev der den 18. juli kl. 15 (MSK) lanceret en spamkampagne. F.eks. blev det i noten til byggespecifikationen for Zen-browseren nævnt, at kritiske stabilitets- og rendering problemer var blevet løst, samt at man havde udbedret hukommelseslækager.
Pakkerne blev fjernet af administratorerne fra repositoriet den 18. juli kl. 19 (MSK). Næsten med det samme bemærkede brugerne af repositoriet yderligere fire ondsindede pakker: minecraft-cracked, ttf-all-ms-fonts, ttf-ms-fonts-all og vesktop-bin-patched, der blev offentliggjort under en anden konto omkring kl. 21 den 18. juli (MSK). På tidspunktet for skrivningen af denne nyhed var disse pakker allerede blevet fjernet fra repositoriet.
Kilde: opennet.ru
