Im AUR-Repository von Arch Linux wurden schadhafte Pakete entdeckt.

Im AUR-Repository (Arch User Repository), das in Arch Linux zur Verbreitung von Paketen von Drittentwicklern verwendet wird, wurden drei bösartige Pakete entdeckt: firefox-patch-bin, librewolf-fix-bin und zen-browser-patched-bin, die modifizierte Versionen der Browser Firefox, Librewolf und Zen enthalten. Die Paketnamen erinnerten an die legitimierten Pakete firefox-bin, librewolf-bin und zen-browser-bin, die von Enthusiasten im AUR unterstützt werden.

In den Paketen in der PKGBUILD-Datei gab es einen Verweis auf Patches, die aus externen Repositorien auf GitHub (zenbrowser-patch, youtube-viewbot) heruntergeladen wurden. Die Patches modifizierten den Installationsprozess, was zum Start eines Python-Skripts führte, das den Trojaner Chaos installierte. Der Trojaner ermöglichte den Remotedzugriff auf das System, um vertrauliche Dateien nach außen zu senden. Server und Befehle auszuführen, beispielsweise zum Mining von Kryptowährungen. Die bösartige ausführbare Datei wurde als /usr/local/share/systemd-initd abgelegt und über den Dienst custom-initd.service ausgeführt, der in das systemd-Verzeichnis kopiert wurde. Bei fehlenden root-Rechten während der Installation wurde der Trojaner im Heimatverzeichnis des Benutzers (~/.local/share/systemd-initd) platziert.

Die bösartigen Pakete wurden am 16. Juli gegen 23 Uhr (MSK) im AUR-Repository hochgeladen. Um die bösartigen Pakete zu promoten, wurde am 18. Juli um 15 Uhr (MSK) eine Spammenkampagne gestartet. Zum Beispiel wurde in der Anmerkung zur Zen-Browser-Version darauf hingewiesen, dass kritische Probleme mit der Stabilität und Darstellung behoben wurden, sowie das Auftreten von Speicherlecks.

Die Pakete wurden am 18. Juli um 19 Uhr (MSK) von den Administratoren des Repositories entfernt. Fast sofort bemerkten die Benutzer des Repositories vier weitere bösartige Pakete: minecraft-cracked, ttf-all-ms-fonts, ttf-ms-fonts-all und vesktop-bin-patched, die unter einem anderen Konto ungefähr um 21 Uhr am 18. Juli (MSK) platziert wurden. Zum Zeitpunkt der Erstellung der Meldung waren diese Pakete bereits aus dem Repository entfernt.

Quelle: opennet.ru