In de AUR (Arch User Repository), gebruikt in Arch Linux voor de distributie van pakketten van derden, zijn drie kwaadaardige pakketten ontdekt: firefox-patch-bin, librewolf-fix-bin en zen-browser-patched-bin, die gemodificeerde builds bevatten van de browsers Firefox, Librewolf en Zen. De namen van de pakketten leken op legitieme pakketten firefox-bin, librewolf-bin en zen-browser-bin, die door enthousiastelingen in AUR worden ondersteund.
In de pakketten in het PKGBUILD-bestand was er een koppeling naar patches die werden gedownload vanuit externe repositories op GitHub (zenbrowser-patch, youtube-viewbot). De patches brachten een wijziging aan in het installatieproces, wat leidde tot de uitvoering van een Python-script voor het installeren van de Chaos-trojan. Deze trojan maakte het mogelijk om op afstand toegang te krijgen tot het systeem en om vertrouwelijke bestanden te verzenden naar een externe server locatie en opdrachten uit te voeren, bijvoorbeeld voor het minen van cryptocurrency. Het kwaadaardige uitvoerbare bestand was geplaatst als /usr/local/share/systemd-initd en werd uitgevoerd met behulp van de service custom-initd.service, die kopieerde naar de systemd-map. Bij afwezigheid van root-rechten tijdens de installatie werd de trojan in de persoonlijke map van de gebruiker geplaatst (~/.local/share/systemd-initd).
De kwaadaardige pakketten werden op 16 juli rond 23:00 uur (MSK) in de AUR-gemeenschap geplaatst. Voor het bevorderen van de kwaadaardige pakketten werd op 18 juli om 15:00 uur (MSK) een spammend campagne opgezet. Bijvoorbeeld, om de installatie te stimuleren, werd in de opmerkingen bij de build van de Zen-browser aangegeven dat kritieke problemen met stabiliteit en rendering waren opgelost, evenals het herstel van geheugenlekken.
De pakketten werden op 18 juli om 19:00 uur (MSK) door de beheerders van de repository verwijderd. Bijna onmiddellijk merkten gebruikers van de repository nog vier kwaadaardige pakketten op: minecraft-cracked, ttf-all-ms-fonts, ttf-ms-fonts-all en vesktop-bin-patched, geplaatst onder een ander account rond 21:00 uur op 18 juli (MSK). Op het moment van schrijven waren deze pakketten al uit de repository verwijderd.
Bron: opennet.ru
