Në depon AUR (Arch User Repository), e cila përdoret në Arch Linux për shpërndarjen e pakove nga zhvillues të tretë, janë zbuluar tri paketa të dëmshme firefox-patch-bin, librewolf-fix-bin dhe zen-browser-patched-bin, që përmbajnë ndërtime të modifikuara të shfletuesve Firefox, Librewolf dhe Zen. Emrat e pakove kujtonin paketat legjitime firefox-bin, librewolf-bin dhe zen-browser-bin, të mbështetur nga entuziastë në AUR.
Në paketat në skedarin PKGBUILD kishte një lidhje me patch-et, të cilat shkarkoheshin nga depo të jashtme në GitHub (zenbrowser-patch, youtube-viewbot). Patch-et bënin një ndryshim në procesin e instalimit, duke çuar në ekzekutimin e një skripti në gjuhën Python për të instaluar trojanin Chaos. Trojanin i lejonte qasje të largët në sistem, duke dërguar në mënyrë të jashtme server dosje konfidenciale dhe duke ekzekutuar komanda, për shembull, për minimin e kriptovalutave. Skedari ekzekutiv i dëmshëm ishte vendosur si /usr/local/share/systemd-initd dhe ekzekutohej përmes shërbimit custom-initd.service, që kopjohej në katalogun me systemd. Në mungesë të të drejtave root gjatë instalimit, trojani vendosej në katalogun e shtëpisë së përdoruesit (~/.local/share/systemd-initd).
Paketa të dëmshme u shpërndanë në depon AUR më 16 korrik rreth orës 23:00 (MSK). Për të promovuar paketat e dëmshme më 18 korrik në orën 15:00 (MSK) u lansua një fushatë spamy. Për shembull, për të stimulua instalimin në shënimin e ndërtimit me shfletuesin Zen u theksua zgjidhja e problemeve kritike me stabilitetin dhe vizatimin, si dhe eliminimi i rrjedhjeve të memories.
Paketat u hoqën nga administratorët e depos më 18 korrik në orën 19:00 (MSK). Pothuajse menjëherë përdoruesit e depos vënë re edhe katër paketa të dëmshme minecraft-cracked, ttf-all-ms-fonts, ttf-ms-fonts-all dhe vesktop-bin-patched, të vendosura nën një llogari tjetër rreth orës 21:00 më 18 korrik (MSK). Në momentin e shkrimit të lajmit, këto paketa ishin hequr tashmë nga depoja.
Burimi: opennet.ru
