Trovato (e subito rimosso) del malware in AUR

Del malware è stato trovato su AUR (Arch User Repository). Il malware è stato caricato nella giornata di sabato 7 luglio 2018 ma, fortunatamente, un utente ha segnalato la modifica malevola e ciò ha consentito il ripristino della vecchia copia da Git, neutralizzando così la minaccia.

I fatti

Su AUR ci sono diversi repository che non vengono più mantenuti aggiornati da parte dei loro manutentori. Questi repository possono essere rilevati da altri utenti per essere nuovamente aggiornati.
L'utente che utilizzava il nicknamen xeactor ha rilevato uno di questi repository e precisamente quello relativo a acroread. Una volta rilevato ha provveduto a modificarlo e ad aggiungergli del codice malevolo (che potete visualizzare sul commit Git).

Il meccanismo di azione del malware

Il malware caricato scaricava sul computer della vittima un primo file chiamato ~x (qui trovate il codice sorgente mentre qui la scansione con VirusTotal) che a sua volta andava a scaricare un altro file chiamato ~u (qui trovate il codice sorgente mentre qui la scansione con VirusTotal). Il file ~x, oltre a scaricare il file ~u, andava e a modificare systemd aggiungendogli un timer che consentiva l'esecuzione di ~u ogni 360 secondi.

Cosa faceva il malware?

Il file ~u raccoglieva alcuni dati dai sistemi infetti (la data, l'ora, l'ID della macchina, informazionu sulla CPU, dettagli di Pacman e l'output dei comandi "uname -a" e "systemctl list-units") e li copiava all'interno di un nuovo file su Pastebin utilizznado la chiave API Pastebin personalizzata dell'utente che ha creato il malware.
Non sono segnalate altre operazioni dannose in questa fase. Molto probabilmente stava soltanto raccogliendo dati per un successivo attacco o aggiornamento del pacchetto per distribuire altro codice malevolo.

Non solo quel pacchetto

Lo stesso autore aveva anche caricato un codice simile in altri due pacchetti di AUR e precisamente balz e minergate che sono stati anch'essi ripristinati.

State sereni

Ovviamente tutte le modifiche malevoli sono state annullate e l'account di xeactor è stato sospeso. 

Articoli simili

Commenta con Disqus

Licenza
Licenza Creative Commons

Quest' opera è distribuita con licenza Creative Commons Attribuzione - Non commerciale - Non opere derivate 3.0 Unported. Questo blog non rappresenta una testata giornalistica, in quanto viene aggiornato senza alcuna periodicità. Non può, pertanto, considerarsi un prodotto editoriale, ai sensi della legge n. 62 del 7/03/2001

Disclaimer immagini

Le immagini utilizzate in questo blog appartengono ai loro rispettivi autori e sono utilizzati per scopi educativi, personali e senza scopo di lucro. Ogni eventuale violazione del copyright non è intenzionale, ma se si riconosce un'immagine protetta da copyright, fatemelo sapere qui, e sarò lieto di aggiungere i credits o modificarla o rimuoverla.

Disclaimer images

Images used on this blog belong to their respective authors and are used for educational, personal and no profit purposes. Any eventual copyright infringement is not intentional, but if you recognize a copyrighted image, please let me know here, and I'll happily provide to add the right credits or modify or remove it.