Xubuntu avslöjar kompromettering av nedladdningssajt i oktober

Xubuntu bekräftar att en skadlig ZIP-fil delades ut i oktober och byter till Hugo statiska webbplatsgenerator för att förhindra liknande attacker.

Xubuntu har släppt en detaljerad efteranalys som beskriver kompromissen av dess webbplats nedladdningssida i oktober, där ISO-nedladdningsknappen kortvarigt levererade en skadlig ZIP-fil istället för den förväntade installationsbilden.

Händelsen började den 15 oktober, när besökare som klickade på huvudknappen "Download" på Xubuntu.org blev omdirigerade till en fil som hette "Xubuntu-Safe-Download.zip". Arkivet var skadligt.

Det är viktigt att betona att ingenting på cdimages.ubuntu.com, officiella Ubuntu-förråd eller spegelnätverket påverkades, och befintliga Xubuntu-installationer var aldrig i riskzonen.

Enligt projektets postmortem blev attacken möjlig efter att en illasinnad aktör bruteforcade en sårbar komponent i WordPress-instansen som Canonical underhåller för Xubuntu-teamet.

Väl inne injicerade angriparen kod som ersatte den legitima ISO-nedladdningslänken med den skadliga ZIP-filen. Intrånget rapporterades snabbt, vilket fick Canonicals infrastruktur- och säkerhetsteam att låsa ner sajten och inaktivera nedladdningssidan.

Mellan den 15 och 19 oktober identifierade Canonical och Xubuntu-teamet intrångsmetoden, tog bort all injicerad kod och återställde de påverkade sidorna från verifierade rena ögonblicksbilder.

Dessutom förstärktes WordPress-installationen och placerades i ett kontrollerat skrivskyddat läge medan teamet påbörjade en permanent migrering bort från plattformen.

Xubuntu bekräftar att endast webbplatsens nedladdningsknapp manipulerades. Kärndistributionen, byggsystemen, paketen och den officiella Ubuntu-bildhostingstjänsten förblev orörda.

Användare som laddade ner filen “Xubuntu-Safe-Download.zip” under denna period uppmanas att omedelbart ta bort den och utföra en systemsökning med ett pålitligt antivirus- eller anti-malwareverktyg.

Som svar på incidenten slutför teamet en planerad övergång till Hugo, en statisk webbplatsgenerator som tar bort den dynamiska attackytan som WordPress exponerade.

Migreringen hade pågått under en tid, men oktoberöverträdelsen påskyndade dess slutförande. När den nya statiska webbplatsen väl är lanserad kommer den att eliminera den typ av utnyttjningsväg som användes i detta intrång.

För mer information, se det officiella meddelandet på Ubuntus mailinglista.