Les développeurs du projet Xubuntu ont publié un rapport sur le piratage survenu il y a un mois sur le site Xubuntu.org, à la suite duquel un lien vers l'archive « Xubuntu-Safe-Download.zip » contenant du code malveillant a été placé sur la page de téléchargement du système. À l'intérieur de l'archive, sous prétexte d'un installateur Xubuntu, un fichier exécutable pour la plateforme Windows était distribué, qui, une fois utilisé, installait un logiciel malveillant pour analyser les données du presse-papiers et substituer les adresses des crypto-portefeuilles.
L'analyse de l'incident a révélé que l'accès au site avait été obtenu par une attaque sur un composant vulnérable de la plateforme WordPress, pour lequel la société Canonical était responsable. Après avoir obtenu l'accès, les attaquants ont pu injecter leur code dans la plateforme, modifiant les liens sur la page de téléchargement et plaçant le fichier « https://xubuntu.org/wp-content/Xubuntu-Safe-Download.zip ».
Les premiers rapports de compromission datent du 15 octobre. Il est précisé que les équipes de Canonical, responsables du maintien de l'infrastructure, ont été averties peu après avoir reçu des plaintes, après quoi elles ont immédiatement entamé une enquête et désactivé la page de téléchargement (note : malgré l'affirmation selon laquelle le travail d'analyse de l'incident a commencé presque immédiatement, en réalité, le fichier malveillant est resté sur la page de téléchargement jusqu'au soir du 19 octobre).
Le 11 novembre, la société Canonical a fourni aux développeurs de Xubuntu un rapport confirmant l'élimination de la vulnérabilité, les modifications apportées pour renforcer la sécurité et la reprise de la page de téléchargement en mode lecture seule. Pour éviter que des incidents similaires ne se reproduisent à l'avenir, il a été décidé de remplacer un système de gestion de contenu WordPress par un générateur de site statique Hugo, qui ne publiera que du contenu statique sur le site.
Il est affirmé que l'attaque s'est limitée à la substitution d'un lien sur le site Xubuntu.org et n'a pas touché d'autres éléments de l'infrastructure. En particulier, l'attaque n'a pas affecté le système de construction, le service cdimages.ubuntu.com, les miroirs, les dépôts de paquets et d'autres éléments de développement de Xubuntu. Les utilisateurs ayant téléchargé l'archive Xubuntu-Safe-Download.zip et exécuté le fichier exe contenu à l'intérieur doivent considérer que leurs systèmes ont été compromis et utiliser un logiciel antivirus pour nettoyer leur système des logiciels malveillants.
Source : opennet.ru
