O site oficial da distribuição Xubuntu foi comprometido por invasores desconhecidos, que mudaram os links na página de download da distribuição para o arquivo "https://xubuntu.org/wp-content/Xubuntu-Safe-Download.zip". No final, a página de download passou a conter apenas links para um arquivo malicioso e espelhos disponíveis. Os desenvolvedores do Xubuntu ainda não comentaram sobre a situação, mas algumas horas atrás, eles removeram o arquivo malicioso e bloquearam o acesso à seção "xubuntu.org/download/", redirecionando para a página inicial do site.
Cópias do xubuntu.org foram feitas pelo serviço archive.org nos dias 11 e 18 de outubro — no dia 11 a página ainda não tinha sido alterada, enquanto no dia 18 já apresentava a modificação maliciosa. Os espelhos do projeto, através dos quais as imagens ISO são distribuídas, aparentemente não foram comprometidos e correspondem à cdimage.ubuntu.com padrão. Os vestígios de comprometimento foram notados apenas no site xubuntu.org, que utiliza o sistema de gerenciamento de conteúdo WordPress. Supõe-se que a invasão tenha sido realizada através de um plugin não atualizado do WordPress, que contém uma vulnerabilidade.
O arquivo distribuído pelos invasores, "Xubuntu-Safe-Download.zip", contém um executável para a plataforma Windows, que se apresenta como um instalador do Xubuntu. A verificação do arquivo indicado no serviço VirusTotal revela a presença de malware.
Ao executar o arquivo, uma interface falsa é mostrada, incluindo campos para selecionar a versão da distribuição para download e o tipo de pacote, além de um botão "Gerar Link de Download". Ao clicar no botão, um arquivo "elzvcf.exe" é salvo no diretório "AppData Roaming" e o Windows Registry é configurado para executar o arquivo ao iniciar o sistema. Segundo informações preliminares, o malware analisa dados na clipboard e substitui endereços de carteiras de criptomoedas Bitcoin, Litecoin, Ethereum, Dogecoin, Tron, Ripple e Cardano por carteiras dos invasores.
Curiosamente, no dia 10 de setembro, um dos usuários reclamou sobre um post no blog do site xubuntu.org promovendo um cassino, mas essa publicação foi rapidamente removida e o incidente não teve continuidade (provavelmente, foi considerado que a promoção foi injetada por malware do lado do usuário).
Fonte: opennet.ru
