Взлом инфраструктуры Linux Mint привёл к распространению ISO-образов с бэкдором

Разработчики дистрибутива Linux Mint сообщили об инциденте, в результате которого злоумышленникам удалось подменить ссылки на установочные iso-образы, предлагаемые для загрузки с сайта проекта. Ссылки на iso-образы с редакцией Linux Mint 17.3 с рабочим столом Cinnamon были подменены на вариант с бэкдором. Остальные редакции и другие релизы Linux Mint не пострадали. В настоящее время разбирательство ещё не завершено, на время анализа последствий атаки сайт linuxmint.com временно отключен от сети.

Подмена была выполнена через взлом сайта проекта, на котором ссылки на официальный архив были подменены на сторонний сервер загрузки (5.104.175.212). Проблеме подвержены пользователи, 20 февраля загружавшие iso-образ Linux Mint 17.3 Cinnamon по ссылке с сайта проекта. По заявлению разработчиков Linux Mint проблеме не подвержены загрузки через Torrent, зеркала или официальный архив. Наличие бэкдора можно проверить оценив присутствие файла /var/lib/man.cy в файловой системе (используется троян tsunami). Бэкдор осуществлял соединения с сайтом absentvodka.com, с которого принимались управляющие команды. Помимо основного назначения бэкдора tsunami - участия в ботнете, поддерживаются и такие функции как запуск произвольных обработчиков, которые могут применяться, например, для перехвата паролей.

Интересно, что после устранения первой атаки администраторы инфраструктуры Linux Mint оставили сайт в работе, после чего сразу последовал второй взлом, в результате которого ссылка была повторно подменена. Некоторые пользователи в комментариях отмечают расхождения контрольных сумм загруженных iso-файлов не только для Linux Mint 17.3 Cinnamon, но и для других редакций. Также существуют догадки, что причиной взлома стал движок форума Linux Mint, на котором использовалась уязвимая версия phpBB. Пока данная информация не подтверждена представителями Linux Mint.

Контрольные суммы (MD5) корректных iso-образов:

• 6e7f7e03500747c6c3bfece2c9c8394f linuxmint-17.3-cinnamon-32bit.iso
• e71a2aad8b58605e906dbea444dc4983 linuxmint-17.3-cinnamon-64bit.iso
• 30fef1aa1134c5f3778c77c4417f7238 linuxmint-17.3-cinnamon-nocodecs-32bit.iso
• 3406350a87c201cdca0927b1bc7c2ccd linuxmint-17.3-cinnamon-nocodecs-64bit.iso
• df38af96e99726bb0a1ef3e5cd47563d linuxmint-17.3-cinnamon-oem-64bit.iso

В случае установки поражённых бэкдором iso-образов рекомендуется отключить компьютер от сети, создать полную резервную копию всех персональных данных, переустановить систему и поменять пароли на всех сайтах, работа с которыми осуществлялась на проблемной системе. 

источник

Подобное уже происходило с другими дистрибутивами.Как пример:

Убунта
https://www.helpnetsecurity.com/2013/07/22/passwords-of-18m-.../
https://wiki.ubuntu.com/UbuntuWeeklyNewsletter/Issue52#head-...
> This last week, 5 of the 8 servers that are loco hosted but Canonical sponsored, had to be shut down due to reports that they were actively attacking other machines.

Дебиан
www.zdnet.com/article/debian-server-hacked/

Яблоко
http://www.pcmag.com/article2/0,2817,2388025,00.asp
https://gigaom.com/2013/02/19/apple-says-some-employee-compu.../

MC:
http://blogs.technet.com/b/msrc/archive/2013/02/22/recent-cy...
> As reported by Facebook and Apple, Microsoft can confirm that we also recently experienced a similar security intrusion.

Красно-шапка:
https://www.redhat.com/archives/fedora-announce-list/2008-Au...
http://rhn.redhat.com/errata/RHSA-2008-0855.html
> Last week we discovered that some Fedora servers were illegally
> accessed. The intrusion into the servers was quickly discovered, and the
> servers were taken offline.

...
> It is important to note that the effects of the intrusion on Fedora and
> Red Hat are *not* the same.