Den officielle hjemmeside for distributionen Xubuntu er blevet kompromitteret af ukendte angribere, som har ændret links på download-siden, der førte til torrenser, til filen «https://xubuntu.org/wp-content/Xubuntu-Safe-Download.zip». Som resultat er der kun links til den ondsindede arkiv og tilgængelige spejle tilbage på download-siden. Xubuntu's udviklere har endnu ikke kommenteret situationen, men for flere timer siden fjernede de det ondsindede arkiv og blokerede adgangen til sektionen «xubuntu.org/download/», og organiserede en omdirigering til hjemmesiden.
Tjenesten archive.org har lavet kopier af xubuntu.org den 11. og 18. oktober — 11. oktober var siden endnu ikke ændret, mens der den 18. oktober allerede var en ondsindet ændring på siden. Projektets spejle, som distribuere iso-filerne, synes ikke at være ramt, da de i henhold til en foreløbig analyse af kontrolsummerne svarer til standard cdimage.ubuntu.com. Indtil videre er spor af kompromitteringen kun observeret på hjemmesiden xubuntu.org, som bruger WordPress content management systemet. Det antages, at angrebet blev udført via en uopdateret plugin til WordPress, som indeholder en sårbarhed.
Det ondsindede arkiv «Xubuntu-Safe-Download.zip» indeholder en eksekverbar fil for Windows-platformen, som præsenteres som en installer til Xubuntu. Kontrol af den angivne fil i tjenesten VirusTotal viser tilstedeværelsen af ondsindet software.
Når den eksekverbare fil køres, vises et falsk interface, der inkluderer felter til valg af versionen på distributionen for download og typen af pakke, samt en knap «Generate Download Link». Når knappen trykkes, gemmes filen «elzvcf.exe» i mappen «AppData Roaming», og i Windows-registret indstilles den til at køre ved systemstart. Ifølge foreløbige oplysninger analyserer den ondsindede software data i udklipsholderen og erstatter adresserne til kryptovalutaer som Bitcoin, Litecoin, Ethereum, Dogecoin, Tron, Ripple og Cardano med angribernes tegnebøger.
Interessant nok klagede en af brugerne den 10. september over en blogpost på xubuntu.org, der reklamerede for et kasino, men denne blogpost blev hurtigt fjernet, og hændelsen fik ingen opmærksomhed (sandsynligvis vurderede de, at reklamen var blevet indsat af ondsindet software på brugerens side).
Kilde: opennet.ru
