Hacking der Xubuntu-Website mit dem Austausch von Links auf der Download-Seite gegen Malware

Die offizielle Website des Xubuntu-Distributors wurde von unbekannten Angreifern kompromittiert, die die Links auf der Downloadseite des Distributors geändert haben, sodass sie auf die Datei „https://xubuntu.org/wp-content/Xubuntu-Safe-Download.zip“ verweisen. Infolgedessen sind auf der Downloadseite nur noch Links zu dem schädlichen Archiv und verfügbaren Spiegeln übrig geblieben. Die Entwickler von Xubuntu haben die Situation bislang nicht kommentiert, aber vor mehreren Stunden das schädliche Archiv entfernt und den Zugang zum Bereich „xubuntu.org/download/“ gesperrt, indem sie auf die Hauptseite der Website umgeleitet haben.

Laut archive.org wurden Kopien von xubuntu.org am 11. und 18. Oktober erstellt – am 11. Oktober war die Seite noch nicht geändert worden, während am 18. Oktober bereits eine schädliche Änderung auf der Seite zu sehen war. Die Projektspiegel, über die die ISO-Abbilder verbreitet werden, scheinen laut einer vorläufigen Analyse der Prüfziffern nicht betroffen zu sein und entsprechen dem Referenzbild von cdimage.ubuntu.com. Bislang wurden Spuren der Kompromittierung nur auf der Website xubuntu.org festgestellt, die das Content-Management-System WordPress. Der Angriff soll vermutlich über ein nicht aktualisiertes Plugin für WordPress erfolgt sein, das eine Sicherheitsanfälligkeit aufweist.

Das von den Angreifern verbreitete Archiv „Xubuntu-Safe-Download.zip“ enthält eine ausführbare Datei für die Windows-Plattform, die als Installer für Xubuntu ausgegeben wird. Eine Überprüfung der angegebenen Datei mit dem Dienst VirusTotal zeigt das Vorhandensein von Malware.

Beim Starten der ausführbaren Datei erscheint eine gefälschte Benutzeroberfläche, die Felder zur Auswahl der Version des zu ladenden Distributors und des Pakettyps sowie einen Button „Download-Link generieren“ enthält. Wenn der Button gedrückt wird, wird die Datei „elzvcf.exe“ im Verzeichnis „AppData Roaming“ gespeichert und im Windows-Registrar so konfiguriert, dass sie beim Systemstart ausgeführt wird. Vorläufigen Informationen zufolge analysiert die Malware die Daten in der Zwischenablage und ersetzt die Adressen von Bitcoin-, Litecoin-, Ethereum-, Dogecoin-, Tron-, Ripple- und Cardano-Krypto-Wallets durch die der Angreifer.

Interessant ist, dass sich am 10. September ein Nutzer über das Auftauchen eines Blogeintrags auf der Website xubuntu.org beschwert hat, der für ein Casino warb, aber dieser Blogeintrag wurde umgehend entfernt und der Vorfall erhielt keine weitere Entwicklung (vermutlich wurde angenommen, dass die Werbung durch Malware auf der Nutzerseite eingeblendet wurde).

Quelle: opennet.ru