Në depozitat AUR (Arch User Repository), të përdorura në Arch Linux për shpërndarjen e paketave nga zhvilluesit e jashtëm, janë identifikuar tri paketa malinjë firefox-patch-bin, librewolf-fix-bin dhe zen-browser-patched-bin, të cilat përmbajnë ndërtime të modifikuara të shfletuesve Firefox, Librewolf dhe Zen. Emrat e paketave ngjasonin me paketat legjitime firefox-bin, librewolf-bin dhe zen-browser-bin, të mbështetura nga entuziastët në AUR.
Në paketat brenda skedarit PKGBUILD kishte një lidhje me patch-et që shkarkoheshin nga depozita të jashtme në GitHub (zenbrowser-patch, youtube-viewbot). Patch-et bënin ndryshime në procesin e instalimit, duke çuar në ekzekutimin e një skripti në gjuhën Python për të instaluar trojanin Chaos. Trojanet lejonin qasje të largët në sistem, dërgimin e skedarëve konfidencialë dhe ekzekutimin e komandave, për shembull, për minimin e kriptovalutave. server Skedari ekzekutiv malinj ishte vendosur si /usr/local/share/systemd-initd dhe është aktivizuar përmes shërbimit custom-initd.service, i cili kopjohej në direktoriumin me systemd. Në mungesë të të drejtave root gjatë instalimit, trojani vendosej në dosjen e përdoruesit në shtëpi (~/.local/share/systemd-initd).
Pakot e dëmshme u shpërndanë në depot AUR më 16 korrik rreth orës 23:00 (MSK). Për të promovuar paketat e dëmshme, më 18 korrik në orën 15:00 (MSK) u lançua një fushatë spam. Për shembull, për të inkurajuar instalimin, në shënimin e ndërtimit me shfletuesin Zen u përmendën zgjidhjet për probleme kritike me stabilitetin dhe vizatimin, si dhe rregullimi i rrjedhjeve të memories.
Paketat u hoqën nga administratorët e depozitës më 18 korrik në orën 19:00 (MSK). Pothuajse menjëherë, përdoruesit e depozitas vërshuan katër paketat e tjera të dëmshme minecraft-cracked, ttf-all-ms-fonts, ttf-ms-fonts-all dhe vesktop-bin-patched, të shpërndara nën një llogari tjetër rreth orës 21:00 më 18 korrik (MSK). Në momentin e shkruarjes së lajmit, këto paketa ishin hequr tashmë nga depozita.
Burimi: opennet.ru
