Deweloperzy projektu Xubuntu opublikowali raport dotyczący włamania, które miało miejsce miesiąc temu na stronie Xubuntu.org, w wyniku którego na stronie pobierania dystrybucji umieszczono link do archiwum „Xubuntu-Safe-Download.zip” z złośliwym kodem. Wewnątrz archiwum, pod przykrywką instalatora Xubuntu, rozpowszechniano plik wykonywalny dla platformy Windows, który po użyciu instalował złośliwe oprogramowanie analizujące dane w schowku oraz zmieniające adresy kryptokoszyków.
Analiza incydentu wykazała, że dostęp do strony uzyskano przez atak na podatny komponent platformy WordPress, za który odpowiadała firma Canonical. Po uzyskaniu dostępu, napastnicy mogli wprowadzić swój kod do platformy, zmieniając linki na stronie pobierania, i umieszczając plik „https://xubuntu.org/wp-content/Xubuntu-Safe-Download.zip”.
Pierwsze doniesienia o kompromitacji datowane są na 15 października. Zgłoszono, że zespoły Canonical odpowiedzialne za utrzymanie infrastruktury zostały poinformowane niebawem po otrzymaniu skarg, po czym natychmiast rozpoczęły dochodzenie i wyłączyły stronę pobierania (uwaga: mimo zapewnienia, że prace nad analizą incydentu rozpoczęły się prawie natychmiast, w rzeczywistości złośliwy plik pozostawał na stronie pobierania do wieczora 19 października).
11 listopada firma Canonical dostarczyła deweloperom Xubuntu raport potwierdzający usunięcie podatności, dokonanie zmian w celu wzmocnienia zabezpieczeń oraz wznowienie pracy strony pobierania w trybie tylko do odczytu. Aby zapobiec podobnym incydentom w przyszłości, postanowiono wymienić system zarządzania treścią WordPress na statyczny generator stron Hugo, przy użyciu którego na stronie umieszczany jest jedynie statyczny content.
Twierdzi się, że atak ograniczył się jedynie do zmiany linku na stronie Xubuntu.org i nie dotknął innych elementów infrastruktury. W szczególności atak nie wpłynął na system kompilacji, serwis cdimages.ubuntu.com, lustra, repozytoria pakietów i inne elementy do rozwoju Xubuntu. Użytkownicy, którzy pobrali archiwum Xubuntu-Safe-Download.zip i uruchomili znajdujący się w nim plik exe, powinni uznać swoje systemy za skompromitowane i skorzystać z oprogramowania antywirusowego w celu oczyszczenia systemu z złośliwego oprogramowania.
Źródło: opennet.ru
