I AUR (Arch User Repository), som anvÀnds i Arch Linux för att distribuera paket frÄn tredje part, har tre skadliga paket upptÀckts: firefox-patch-bin, librewolf-fix-bin och zen-browser-patched-bin, som innehÄller modifierade versioner av webblÀsarna Firefox, Librewolf och Zen. Paketnamnen liknade legitima paket firefox-bin, librewolf-bin och zen-browser-bin som stöds av entusiaster i AUR.
I paketen i PKGBUILD-filen fanns en lÀnk till patchar som laddades ner frÄn externa GitHub-repositorier (zenbrowser-patch, youtube-viewbot). Patcharna gjorde Àndringar i installationsprocessen, vilket ledde till att ett Python-skript kördes för att installera trojanen Chaos. Trojanen gav möjlighet till fjÀrrÄtkomst till systemet, att skicka konfidentiella filer till externa server kÀllor och köra kommandon, till exempel för kryptovaluta-mining. Den skadliga körbara filen placerades som /usr/local/share/systemd-initd och kördes med hjÀlp av tjÀnsten custom-initd.service, som kopierades till systemd-katalogen. Utan root-rÀttigheter under installationen placerades trojanen i anvÀndarens hemkatalog (~/.local/share/systemd-initd).
De skadliga paketen publicerades i AUR den 16 juli omkring klockan 23:00 (MSK). För att marknadsföra de skadliga paketen rullades en spamkampanj ut den 18 juli klockan 15:00 (MSK). Till exempel, för att stimulera installationen, nÀmndes i byggnoteringen för webblÀsaren Zen att kritiska stabilitets- och renderingproblem hade ÄtgÀrdats, samt minneslÀckor.
Paketen togs bort av administratörerna den 18 juli klockan 19:00 (MSK). NÀstan direkt uppmÀrksammade anvÀndare av repositoriet ytterligare fyra skadliga paket: minecraft-cracked, ttf-all-ms-fonts, ttf-ms-fonts-all och vesktop-bin-patched, som postades under ett annat konto omkring klockan 21:00 den 18 juli (MSK). Vid tidpunkten för skrivningen var dessa paket redan borttagna frÄn repositoriet.
KĂ€lla: opennet.ru
