Die Entwickler des Projekts Xubuntu haben einen Bericht über den Vorfall veröffentlicht, der vor einem Monat stattgefunden hat. Dabei wurde auf der Download-Seite des Distributionspakets ein Link zu einem Archiv „Xubuntu-Safe-Download.zip“ mit schädlichem Code platziert. Innerhalb des Archivs wurde unter dem Deckmantel eines Xubuntu-Installers eine ausführbare Datei für die Windows-Plattform verteilt, die beim Ausführen Malware installierte, die Daten aus der Zwischenablage analysierte und Adressen von Krypto-Wallets manipulierte.
Die Analyse des Vorfalls ergab, dass der Zugriff auf die Website durch einen Angriff auf eine verwundbare Komponente der WordPress-Plattform ermöglicht wurde, für die die Firma Canonical verantwortlich war. Nach Erhalt des Zugriffs konnten die Angreifer ihren Code in die Plattform injizieren, wodurch die Links auf der Download-Seite verändert wurden und die Datei „https://xubuntu.org/wp-content/Xubuntu-Safe-Download.zip“ hochgeladen werden konnte.
Die ersten Berichte über die Kompromittierung datieren auf den 15. Oktober. Es wird berichtet, dass die Teams von Canonical, die für die Aufrechterhaltung der Infrastruktur zuständig sind, kurz nach Eintreffen der Beschwerden informiert wurden, daraufhin umgehend mit der Untersuchung begannen und die Download-Seite deaktivierten (Anmerkung: Trotz der Aussage, dass die Arbeit zur Analyse des Vorfalls fast sofort begann, blieb die schadhafte Datei tatsächlich bis zum Abend des 19. Oktober auf der Download-Seite).
Am 11. November stellte Canonical den Entwicklern von Xubuntu einen Bericht zur Verfügung, der die Behebung der Sicherheitsanfälligkeit, die vorgenommenen Änderungen zur Erhöhung des Schutzes und die Wiederherstellung der Download-Seite im Nur-Lese-Modus bestätigte. Um ähnliche Vorfälle in Zukunft zu verhindern, wurde beschlossen, das Content-Management-System WordPress durch den statischen Seiten-Generator Hugo zu ersetzen, wobei auf der Website nur statische Inhalte veröffentlicht werden.
Es wird bestätigt, dass der Angriff sich ausschließlich auf den Link auf der Webseite Xubuntu.org beschränkte und keine anderen Elemente der Infrastruktur betroffen waren. Insbesondere blieb das Build-System, der Dienst cdimages.ubuntu.com, Spiegel, Paket-Repositories und andere Entwicklungselemente von Xubuntu unberührt. Benutzer, die das Archiv Xubuntu-Safe-Download.zip heruntergeladen und die darin enthaltene exe-Datei ausgeführt haben, sollten ihre Systeme als kompromittiert betrachten und Antivirus-Software verwenden, um ihr System von Malware zu bereinigen.
Quelle: opennet.ru
