No repositório AUR (Arch User Repository), utilizado no Arch Linux para a distribuição de pacotes de desenvolvedores terceiros, foram identificados três pacotes maliciosos: firefox-patch-bin, librewolf-fix-bin e zen-browser-patched-bin, que contêm versões modificadas dos navegadores Firefox, Librewolf e Zen. Os nomes dos pacotes eram semelhantes a pacotes legítimos como firefox-bin, librewolf-bin e zen-browser-bin, suportados por entusiastas no AUR.
Nos pacotes no arquivo PKGBUILD havia um link para patches baixados de repositórios externos no GitHub (zenbrowser-patch, youtube-viewbot). Esses patches modificavam o processo de instalação, levando à execução de um script em Python para instalar o trojan Chaos. O trojan permitia acesso remoto ao sistema, enviando dados confidenciais para fora. servidor Arquivos confidenciais e executando comandos, como mineração de criptomoedas. O executável malicioso era colocado como /usr/local/share/systemd-initd e era iniciado pelo serviço custom-initd.service, copiado para o diretório do systemd. Se não houvesse permissões de root durante a instalação, o trojan era colocado no diretório home do usuário (~/.local/share/systemd-initd).
Os pacotes maliciosos foram colocados no repositório AUR em 16 de julho, por volta das 23 horas (MSK). Para promover os pacotes maliciosos, no dia 18 de julho, às 15 horas (MSK), foi lançada uma campanha de spam. Por exemplo, para estimular a instalação, na nota da versão do navegador Zen foi mencionada uma solução para problemas críticos de estabilidade e renderização, além de correções para vazamentos de memória.
Os pacotes foram removidos pelos administradores do repositório no dia 18 de julho, às 19 horas (MSK). Quase imediatamente, os usuários do repositório notaram mais quatro pacotes maliciosos: minecraft-cracked, ttf-all-ms-fonts, ttf-ms-fonts-all e vesktop-bin-patched, que foram disponibilizados sob outra conta por volta das 21 horas do dia 18 de julho (MSK). No momento da publicação desta notícia, esses pacotes já haviam sido removidos do repositório.
Fonte: opennet.ru
