V repozitári AUR (Arch User Repository), ktorý sa používa v Arch Linux na distribúciu balíčkov od tretích strán, boli zistené tri škodlivé balíčky firefox-patch-bin, librewolf-fix-bin a zen-browser-patched-bin, obsahujúce modifikované zostavenia prehliadačov Firefox, Librewolf a Zen. Názvy balíčkov sa podobali legitímnym balíčkom firefox-bin, librewolf-bin a zen-browser-bin, ktoré podporujú nadšenci v AUR.
V balíčkoch v súbore PKGBUILD bol odkaz na patche sťahované z externých repozitárov na GitHub (zenbrowser-patch, youtube-viewbot). Patche menili inštalačný proces tak, že spustili skript v jazyku Python na inštaláciu trójskeho koňa Chaos. Trójsky kôň umožňoval vzdialený prístup k systému, zasielanie na externé server dôverné súbory a vykonávanie príkazov, napríklad na ťažbu kryptomeny. Škodlivý spustiteľný súbor bol umiestnený ako /usr/local/share/systemd-initd a spúšťal sa pomocou služby custom-initd.service, ktorá bola skopírovaná do adresára so systemd. Pri absencii práv root počas inštalácie bol trójsky kôň umiestnený do domácej zložky používateľa (~/.local/share/systemd-initd).
Škodlivé balíčky boli rozmiestnené v repozitári AUR 16. júla približne o 23:00 (MSK). Na propagáciu škodlivých balíčkov bola 18. júla o 15:00 (MSK) spustená spamová kampaň. Napríklad na podporu inštalácie bolo v poznámke k zostaveniu prehliadača Zen uvedené riešenie kritických problémov s stabilitou a vykresľovaním, ako aj odstránenie únikov pamäte.
Balíčky boli odstránené správcami repozitára 18. júla o 19:00 (MSK). Takmer okamžite si používatelia repozitára všimli ďalšie štyri škodlivé balíčky minecraft-cracked, ttf-all-ms-fonts, ttf-ms-fonts-all a vesktop-bin-patched, umiestnené pod iným účtom približne o 21:00 18. júla (MSK). V čase písania správy boli tieto balíčky už odstránené z repozitára.
Zdroj: opennet.ru
