Xubuntu revela comprometimento do site de downloads em outubro
O Xubuntu confirma que um ficheiro ZIP malicioso foi distribuído em outubro e está a mudar para o gerador de sites estáticos Hugo para prevenir ataques similares.
O Xubuntu publicou um post-mortem detalhado descrevendo o comprometimento da sua página de downloads em outubro, onde o botão de download do ISO serviu brevemente um ficheiro ZIP malicioso em vez da imagem de instalação esperada.
O incidente começou a 15 de outubro, quando os visitantes que clicavam no botão principal «Download» no Xubuntu.org eram redirecionados para um ficheiro chamado «Xubuntu-Safe-Download.zip». O arquivo era malicioso.
É importante salientar que nada em cdimages.ubuntu.com, nos repositórios oficiais do Ubuntu ou na rede de espelhos foi afetado, e instalações existentes do Xubuntu nunca estiveram em risco.
Segundo a análise pós-ataque do projeto, o ataque tornou-se possível depois de um agente malicioso forçar brutalmente um componente vulnerável na instância do WordPress que a Canonical mantém para a equipa do Xubuntu.
Uma vez dentro, o atacante injetou código que substituiu o link legítimo de download do ISO pelo ficheiro ZIP malicioso. A violação foi rapidamente reportada, levando as equipas de infraestrutura e segurança da Canonical a bloquear o site e a desativar a página de downloads.
Entre 15 e 19 de outubro, a Canonical e a equipa do Xubuntu identificaram o método de intrusão, removeram todo o código injetado e restauraram as páginas afetadas a partir de snapshots verificados e limpos.
Além disso, a instalação do WordPress foi reforçada e colocada num estado controlado de apenas leitura enquanto a equipa iniciou uma migração permanente para fora da plataforma.
O Xubuntu confirma que apenas o botão de download do site foi manipulado. A distribuição principal, os sistemas de compilação, os pacotes e o alojamento oficial das imagens do Ubuntu permaneceram intactos.
Os utilizadores que tenham descarregado o ficheiro “Xubuntu-Safe-Download.zip” durante este período são instados a eliminá-lo imediatamente e a realizar uma verificação do sistema usando um antivírus ou ferramenta anti-malware de confiança.
Em resposta ao incidente, a equipa está a finalizar uma transição planeada para o Hugo, um gerador de sites estáticos que elimina a superfície de ataque dinâmica que o WordPress expunha.
A migração estava em curso há algum tempo, mas a violação de outubro acelerou a sua conclusão. Uma vez implementado, o novo site estático eliminará o tipo de caminho de exploração usado nesta violação.
Para mais informações, veja o anúncio oficial na lista de correio do Ubuntu.