Il sito ufficiale del distributione Xubuntu è stato compromesso da sconosciuti malintenzionati, che hanno modificato i link alla pagina di download del distributione, sostituendoli con un file "https://xubuntu.org/wp-content/Xubuntu-Safe-Download.zip". Di conseguenza, nella pagina di download sono rimasti solo link a un archivio malevolo e specchi disponibili. Gli sviluppatori di Xubuntu non hanno ancora commentato la situazione, ma qualche ora fa hanno rimosso l'archivio malevolo e bloccato l'accesso alla sezione "xubuntu.org/download/", organizzando un reindirizzamento alla homepage del sito.
Il servizio archive.org ha salvato copie di xubuntu.org l'11 e il 18 ottobre — l'11 ottobre la pagina non era ancora stata modificata, mentre il 18 ottobre la pagina presentava già una modifica malevola. Gli specchi del progetto, attraverso cui vengono distribuiti i file iso, sembrano, da un'analisi preliminare delle checksum, non essere stati compromessi e corrispondono a cdimage.ubuntu.com. Al momento, sono stati notati segni di compromissione solo sul sito xubuntu.org, che utilizza il sistema di gestione dei contenuti WordPress. Si presume che l'attacco sia stato eseguito tramite un plug-in non aggiornato per WordPress, contenente una vulnerabilità.
L'archivio distribuito dai malintenzionati "Xubuntu-Safe-Download.zip" contiene un file eseguibile per la piattaforma Windows, presentato come l'installer di Xubuntu. La verifica del file specificato tramite il servizio VirusTotal mostra la presenza di malware.
Quando si avvia il file eseguibile, viene mostrata un'interfaccia fasulla, che include campi per selezionare la versione del distributione da scaricare e il tipo di pacchetto, oltre a un pulsante "Generate Download Link". Cliccando sul pulsante, viene salvato nella cartella "AppData Roaming" il file "elzvcf.exe" e nel registro di Windows viene configurato per essere eseguito all'avvio del sistema. Secondo informazioni preliminari, il malware analizza i dati negli appunti e sostituisce gli indirizzi dei portafogli di criptovalute Bitcoin, Litecoin, Ethereum, Dogecoin, Tron, Ripple e Cardano con quelli dei malintenzionati.
È interessante notare che il 10 settembre uno degli utenti ha segnalato l'apparizione di un post sul blog del sito xubuntu.org con pubblicità di un casinò, ma tale post è stato rapidamente rimosso e l'incidente non ha avuto seguito (si presume che sia stato considerato che la pubblicità fosse stata inserita dal malware sul lato dell'utente).
Fonte: opennet.ru
