Gli sviluppatori del progetto Xubuntu hanno pubblicato un rapporto su un attacco avvenuto un mese fa al sito Xubuntu.org, che ha portato alla pubblicazione di un link verso l'archivio “Xubuntu-Safe-Download.zip” con codice malevolo nella pagina di download della distribuzione. All'interno dell'archivio, sotto forma di installer di Xubuntu, è stato diffuso un file eseguibile per piattaforme Windows, il cui utilizzo installava sul sistema un malware in grado di analizzare i dati negli appunti e sostituire gli indirizzi delle criptovalute.
L'analisi dell'incidente ha rivelato che l'accesso al sito è stato ottenuto attraverso un attacco a un componente vulnerabile della piattaforma WordPress, la cui manutenzione era gestita dalla compagnia Canonical. Dopo aver ottenuto l'accesso, gli aggressori sono stati in grado di inserire il loro codice nella piattaforma, modificando i link nella pagina di download e pubblicando il file "https://xubuntu.org/wp-content/Xubuntu-Safe-Download.zip".
Le prime segnalazioni di compromissione risalgono al 15 ottobre. Si segnala che i team di Canonical, responsabili della manutenzione dell'infrastruttura, sono stati informati poco dopo aver ricevuto le lamentele e hanno immediatamente avviato un'indagine, disattivando la pagina di download (nota: nonostante la dichiarazione che il lavoro di analisi dell'incidente sia iniziato quasi immediatamente, in realtà il file malevolo è rimasto sulla pagina di download fino alla sera del 19 ottobre).
L'11 novembre, Canonical ha fornito agli sviluppatori di Xubuntu un rapporto confermando la risoluzione della vulnerabilità, l'implementazione di modifiche per migliorare la sicurezza e la riattivazione della pagina di download in modalità sola lettura. Per evitare simili incidenti in futuro, è stato deciso di sostituire il sistema di gestione dei contenuti WordPress con il generatore di siti statici Hugo, utilizzando il quale il sito ospiterà solo contenuti statici.
Si afferma che l'attacco si sia limitato solo alla sostituzione del link sul sito web Xubuntu.org e non abbia toccato altri elementi dell'infrastruttura. In particolare, l'attacco non ha interessato il sistema di build, il servizio cdimages.ubuntu.com, i mirror, i repository dei pacchetti e altri elementi dello sviluppo di Xubuntu. Gli utenti che hanno scaricato l'archivio Xubuntu-Safe-Download.zip e hanno eseguito il file exe presente all'interno devono considerare i propri sistemi compromessi e utilizzare un software antivirus per ripulire il sistema da malware.
Fonte: opennet.ru
