Программа для чтения PDF под Linux шпионила за пользователями

Дистрибутив-«сирота» Вредоносный софт был обнаружен в нескольких дистрибутивахArch Linux, опубликованных в репозитории Arch User Repository (AUR). Этотресурс предназначен для дистрибутивов, составленных самими пользователями ОС.Благодаря оперативному вмешательству администраторов AUR, вредоносный софт былбыстро удален. AUR позволяют всем желающим работать с «заброшенными»дистрибутивами программ или библиотек. Некто под ником xeactor получил контрольнад дистрибутивом acroread, программы, предназначенной для чтения PDF-файловпод Arch Linux. Она очень давно не обновлялась и, судя по комментариям, невполне работоспособна. Хакер добавил в дистрибутив программу, которая скачиваетфайл под названием «~x» с сайта ptpb.pw (этот ресурс имитирует Pastebin.com). Вслучае установки скомпрометированного дистрибутива на ПК, файл «~x» скачиваетеще один файл — «~u» — и запускает его каждые 360 секунд.

В пользовательском репозитории Arch Linux нашли вредоносное ПО Файл «~u» собирает данные о каждой инфицированной системе, втом числе идентификатор компьютера, сведения о ЦП, информацию о менеджередистрибутива Pacman и ответы системы на команды «uname –a» и «systemctllist-units». Все эти сведения выкладываются в виде отдельного файла наудаленный ресурс. Никаких деструктивных действий сами по себе ни «~x», ни «~u»не предпринимают, просто собирают данные. Для чего, неизвестно. Сейчас настранице дистрибутива acroread висит уведомление о том, что он былскомпрометирован. Другие захваты хакера Аналогичный код, собирающий данные о системе, обнаружилсяеще в двух дистрибутивах, захваченных xeactor. Администраторы Arch Linuxдовольно быстро ликвидировали этот код и деактивировали аккаунт xeactor. Как называются эти два дистрибутива, до которых дотянулсяxeactor, пока остается неизвестным. Пожалуйста, ничеголишнего «В то время как эти файлы едва ли можно назватьвредоносными, метод их внедрения в дистрибутивы указывает на недобрыенамерения, — считает Роман Гинятуллин,эксперт по информационной безопасности компании SEC Consult Services. — Поэтомуреакция администраторов Arch Linux абсолютно адекватна и оправданна. Проблема втом, что если "заброшенный" дистрибутив AUR действительно можетзахватывать любой желающий, ничто не помешает хакерам продолжить заражать такиедистрибутивы, причем уже куда менее безобидными вредоносами». Ссылка на источник