Nel repository AUR (Arch User Repository), utilizzato in Arch Linux per la distribuzione di pacchetti di sviluppatori di terze parti, sono stati identificati tre pacchetti maliziosi firefox-patch-bin, librewolf-fix-bin e zen-browser-patched-bin, contenenti versioni modificate dei browser Firefox, Librewolf e Zen. I nomi dei pacchetti ricordavano pacchetti legittimi firefox-bin, librewolf-bin e zen-browser-bin, supportati da appassionati in AUR.
Nei pacchetti nel file PKGBUILD era presente un collegamento ai patch scaricati da repository esterni su GitHub (zenbrowser-patch, youtube-viewbot). I patch modificavano il processo di installazione, portando all'esecuzione di uno script in Python per installare il trojan Chaos. Il trojan permetteva l'accesso remoto al sistema, inviando file riservati a un'entità esterna server ed eseguendo comandi, ad esempio, per il mining di criptovalute. Il file eseguibile malevolo era posizionato come /usr/local/share/systemd-initd e veniva avviato tramite il servizio custom-initd.service, copiato nella directory con systemd. In assenza di diritti di root durante l'installazione, il trojan veniva collocato nella home directory dell'utente (~/.local/share/systemd-initd).
I pacchetti malevoli sono stati pubblicati nel repository AUR il 16 luglio verso le 23:00 (MSK). Per promuovere i pacchetti malevoli, il 18 luglio alle 15:00 (MSK) è stata lanciata una campagna spam. Ad esempio, per incoraggiare l'installazione, nelle note relative alla build del browser Zen è stato evidenziato il soluzioni ai problemi critici di stabilità e rendering, oltre alla risoluzione di perdite di memoria.
I pacchetti sono stati rimossi dagli amministratori del repository il 18 luglio alle 19:00 (MSK). Quasi immediatamente, gli utenti del repository hanno notato altri quattro pacchetti malevoli minecraft-cracked, ttf-all-ms-fonts, ttf-ms-fonts-all e vesktop-bin-patched, pubblicati sotto un altro account circa alle 21:00 del 18 luglio (MSK). Al momento della scrittura della notizia, questi pacchetti erano già stati rimossi dal repository.
Fonte: opennet.ru
