Hack av Xubuntu-webbplatsen med byte av länkar på nedladdningssidan till skadlig programvara

Den officiella webbplatsen för distributionen Xubuntu har blivit komprometterad av okända angripare, som har ändrat länkarna på nedladdningssidan för distributionen så att de leder till torrenter, vilket resulterar i en fil "https://xubuntu.org/wp-content/Xubuntu-Safe-Download.zip". Därmed finns det endast länkar till skadligt arkiv och tillgängliga speglar. Utvecklarna av Xubuntu har ännu inte kommenterat situationen, men för några timmar sedan tog de bort det skadliga arkivet och blockerat åtkomsten till sektionen "xubuntu.org/download/", och organiserade en omdirigering till webbplatsens startsida.

Tjänsten archive.org har gjort kopior av xubuntu.org den 11 och 18 oktober — den 11 oktober var sidan ännu inte ändrad, men den 18 oktober finns det redan en skadlig ändring på sidan. Speglarna för projektet som distribuerar iso-bilder, verkar enligt preliminär analys av kontrollsummorna, inte ha påverkats och motsvarar den referens som finns på cdimage.ubuntu.com. Spåren av kompromettering har hittills endast observerats på webbplatsen xubuntu.org som använder innehållshanteringssystemet WordPress. Det antas att inbrottet utfördes via en icke uppdaterad WordPress-plugin som innehåller en sårbarhet.

Det skadliga arkiv som sprids av angriparna, "Xubuntu-Safe-Download.zip", innehåller en körbar fil för Windows-plattformen som presenteras som en installationsprogram för Xubuntu. En kontroll av den angivna filen på VirusTotal visar förekomst av skadlig programvara.

När den körbara filen körs visas en falsk gränssnitt som inkluderar fält för val av distributionsversion för nedladdning och pakettyp, samt en knapp "Generera nedladdningslänk". När knappen trycks sparas filen "elzvcf.exe" i katalogen "AppData Roaming" och dess körning ställs in i Windows-registret vid systemstart. Enligt preliminär information analyserar den skadliga programvaran data i urklippet och ersätter adresser för kryptovalutor som Bitcoin, Litecoin, Ethereum, Dogecoin, Tron, Ripple och Cardano till angriparnas plånböcker.

Intressant nog klagade en användare den 10 september över att en inlägg på bloggen på webbplatsen xubuntu.org hade reklam för ett kasino, men detta inlägg raderades snabbt och incidenten ledde inte till ytterligare åtgärder (troligtvis ansågs det att reklamen hade lagts in av skadlig programvara från användarens sida).

Källa: opennet.ru