Az AUR (Arch User Repository) tárolóban, amelyet az Arch Linux használ harmadik féltől származó csomagok terjesztésére, három rosszindulatú csomagot azonosítottak: firefox-patch-bin, librewolf-fix-bin és zen-browser-patched-bin, amelyek a Firefox, Librewolf és Zen böngészők módosított verzióit tartalmazták. A csomagok nevei a légitimiz csomagokra emlékeztettek, mint a firefox-bin, librewolf-bin és zen-browser-bin, amelyeket az AUR-ban lelkes felhasználók támogatnak.
A PKGBUILD fájl csomagokban hivatkozás található olyan javításokra, amelyeket külső GitHub tárolókból töltenek le (zenbrowser-patch, youtube-viewbot). A javítások módosították a telepítési folyamatot, lehetővé téve egy Python nyelvű script futását, amely a Chaos trójait telepítette. A trója távoli hozzáférést biztosított a rendszerhez, lehetővé téve az érzékeny fájlok külső helyre történő elküldését. szerver A rosszindulatú végrehajtható fájl az /usr/local/share/systemd-initd helyen helyezkedett el, és a custom-initd.service nevű szolgáltatás segítségével indult el, amelyet a systemd könyvtárba másoltak. Amennyiben telepítéskor nem volt root jog, a trója a felhasználó otthoni mappájába (~/.local/share/systemd-initd) került.
A rosszindulatú csomagokat július 16-án, körülbelül 23 órakor (MSZK) helyezték el az AUR tárolóban. A rosszindulatú csomagok népszerűsítése érdekében július 18-án 15 órakor (MSZK) egy spam kampányt indítottak. Például a Zen böngészőhöz készült build megjegyzésében említették a kritikus stabilitási és renderelési problémák megoldását, valamint a memória szivárgások megszüntetését.
A csomagokat a tároló adminisztrátorai július 18-án, 19 órakor (MSZK) távolították el. Szinte azonnal a tároló felhasználói észrevették még négy rosszindulatú csomagot: minecraft-cracked, ttf-all-ms-fonts, ttf-ms-fonts-all és vesktop-bin-patched, amelyeket egy másik fiók alatt körülbelül 21 órakor, július 18-án (MSZK) helyeztek el. A hír írásakor ezek a csomagok már törlésre kerültek a tárolóból.
Forrás: opennet.ru
