Взломан сайт Linux Mint, продолжается распространение ISO-образов с бэкдором

Разработчики дистрибутива Linux Mint сообщили об инциденте, в результате которого хакерам удалось подменить ссылки на установочные iso-образы, предлагаемые для загрузки с сайта проекта. Ссылки на iso-образы с редакцией Linux Mint 17.3 с рабочим столом Cinnamon были подменены на вариант с бэкдором. Остальные редакции и другие релизы Linux Mint не пострадали. В настоящее время разбирательство ещё не завершено, на время анализа последствий атаки сайт linuxmint.com временно отключен от сети.

Подмена была выполнена через взлом сайта проекта, на котором ссылки на официальный архив были подменены на сторонний сервер загрузки (5.104.175.212). Проблеме подвержены пользователи, 20 февраля загружавшие iso-образ Linux Mint 17.3 Cinnamon по ссылке с сайта проекта. По заявлению разработчиков Linux Mint проблеме не подвержены загрузки через Torrent, зеркала или официальный архив. Наличие бэкдора можно проверить оценив присутствие файла /var/lib/man.cy в файловой системе (используется троян Tsunami/Kaiten). Бэкдор осуществлял соединения с сайтом absentvodka.com, с которого принимались управляющие команды. Помимо основного назначения бэкдора tsunami — участия в ботнете, поддерживаются и такие функции как запуск произвольных обработчиков, которые могут применяться, например, для перехвата паролей.

Интересно, что после устранения первой атаки администраторы инфраструктуры Linux Mint оставили сайт в работе, после чего сразу последовал второй взлом, в результате которого ссылка была повторно подменена. Некоторые пользователи в комментариях отмечают расхождения контрольных сумм загруженных iso-файлов не только для Linux Mint 17.3 Cinnamon, но и для других редакций. Причиной взлома стал движок форума Linux Mint, на котором использовалась уязвимая версия phpBB. База данных форума forums.linuxmint.com слита, всем пользователям рекомендовано сменить пароли.