Nur wenige Tage nach einem früheren Vorfall ist es einem Übeltäter gelungen, erneut Malware mit einem Remote Access Trojaner in Arch Linux AUR-Pakete einzuschleusen, berichtet Linuxiac.
Das AUR (Arch User Repository) – eine von der Community betriebene Sammlung von Software, die von Arch-Benutzern beigesteuert wird – gilt als eine der größten Stärken von Arch. In den letzten zwei Wochen hat es jedoch zwei Vorfälle mit Trojanern gegeben.
Die jetzige Situation ähnelt dem vergangenen Vorfall. Über einen kurz vorher erstellten Account wurde ein Paket namens google-chrome-stable eingeschleust, das nicht nur den Browser von Google installiert sondern auch einen Remote Access Trojaner auf dem System ausführt, berichtet Linuxiac. Diese Art von Malware kann Angreifern potenziell die Kontrolle über den infizierten Rechner verschaffen, sodass sie Daten stehlen, weitere Schadsoftware installieren oder Nutzer ausspionieren können.
Das Vorgehen: Im PKGBUILD des AUR für das Paket „google-chrome-stable“ gibt es eine Installationsanweisung, die auf eine Datei namens „google-chrome-bin.install“ verweist. Diese Datei ruft wiederum ein Startskript namens „google-chrome-stable.sh“ auf.
Bei genauerer Betrachtung fällt jedoch auf: Bevor Chrome überhaupt gestartet wird, führt das Skript einen Python-Befehl aus, der eine externe Ressource abruft. Diese Ressource lädt dann bei jedem Start von Chrome schädliche Software herunter und startet sie.
Das Paket „google-chrome-stable“ war nur wenige Stunden lang im AUR verfügbar, bevor die darin versteckte Malware entdeckt wurde. Dennoch erhielt es einige Upvotes, was darauf hindeutet, dass zumindest einige Benutzer es letztendlich installiert haben.
