Gli sviluppatori del progetto Xubuntu hanno pubblicato un rapporto sull'attacco al sito Xubuntu.org avvenuto un mese fa, in seguito al quale sulla pagina di download della distribuzione è stata inserita un link a un archivio "Xubuntu-Safe-Download.zip" contenente codice malevolo. All'interno dell'archivio, travestito da installatore di Xubuntu, veniva diffuso un file eseguibile per piattaforma Windows, il cui utilizzo installava nel sistema un malware in grado di analizzare i dati negli appunti e sostituire gli indirizzi dei portafogli crittografici.
L'analisi dell'incidente ha rivelato che l'accesso al sito è stato ottenuto attraverso un attacco a un componente vulnerabile della piattaforma WordPress, la cui manutenzione era gestita da Canonical. Dopo aver ottenuto l'accesso, gli aggressori sono riusciti a inserire il proprio codice nella piattaforma, modificando i link sulla pagina di download e inserendo il file "https://xubuntu.org/wp-content/Xubuntu-Safe-Download.zip".
Le prime segnalazioni di compromissione risalgono al 15 ottobre. È stato segnalato che i team di Canonical, responsabili della manutenzione dell'infrastruttura, sono stati avvisati poco dopo aver ricevuto le lamentele, dopodiché hanno immediatamente avviato un'indagine e disabilitato la pagina di download (nota: nonostante l'affermazione che il lavoro di analisi dell'incidente sia iniziato quasi subito, in realtà il file dannoso è rimasto sulla pagina di download fino alla sera del 19 ottobre).
L'11 novembre, Canonical ha fornito agli sviluppatori di Xubuntu un rapporto confermando la risoluzione della vulnerabilità, l'attuazione di modifiche per rafforzare la sicurezza e la ripresa della funzionalità della pagina di download in modalità sola lettura. Per prevenire incidenti simili in futuro, è stato deciso di sostituire il sistema di gestione dei contenuti WordPress con un generatore di siti statici Hugo, utilizzando il quale sul sito verrà pubblicato solo contenuto statico.
Si afferma che l'attacco si sia limitato a sostituire solo il link sul sito web Xubuntu.org e non abbia interessato altri elementi dell'infrastruttura. In particolare, l'attacco non ha colpito il sistema di build, il servizio cdimages.ubuntu.com, i mirror, i repository dei pacchetti e altri elementi dello sviluppo di Xubuntu. Gli utenti che hanno scaricato l'archivio Xubuntu-Safe-Download.zip e hanno eseguito il file exe presente all'interno dovrebbero considerare i loro sistemi compromessi e utilizzare software antivirus per ripulire il sistema da malware.
Fonte: opennet.ru
