Xubuntu Rivela la Violazione del Sito di Download di Ottobre

Xubuntu conferma che a ottobre è stato distribuito un file ZIP dannoso e sta passando al generatore di siti statici Hugo per prevenire attacchi simili.

Xubuntu ha pubblicato un dettagliato resoconto post mortem descrivendo il compromesso della sua pagina di download avvenuto in ottobre, quando il pulsante di download dell'ISO ha servito brevemente un file ZIP dannoso invece dell'immagine di installazione prevista.

L'incidente è iniziato il 15 ottobre, quando i visitatori cliccando sul pulsante principale "Download" su Xubuntu.org venivano reindirizzati a un file chiamato "Xubuntu-Safe-Download.zip". L'archivio era dannoso.

È importante sottolineare che nulla su cdimages.ubuntu.com, sui repository ufficiali di Ubuntu o sulla rete di mirror è stato interessato, e le installazioni esistenti di Xubuntu non sono mai state a rischio.

Secondo il postmortem del progetto, l'attacco è stato reso possibile dopo che un attore malevolo ha forzato brutalmente un componente vulnerabile nell'istanza di WordPress che Canonical gestisce per il team Xubuntu.

Una volta all'interno, l'attaccante ha iniettato del codice che sostituiva il link legittimo per il download dell'ISO con un file ZIP maligno. La compromissione è stata segnalata rapidamente, spingendo i team di infrastruttura e sicurezza di Canonical a mettere in sicurezza il sito e disabilitare la pagina dei download.

Tra il 15 e il 19 ottobre, Canonical e il team di Xubuntu hanno identificato il metodo di intrusione, rimosso tutto il codice inserito e ripristinato le pagine interessate da snapshot verificati come sicuri.

Inoltre, l'installazione di WordPress è stata rafforzata e posta in uno stato controllato di sola lettura mentre il team avviava una migrazione permanente lontano dalla piattaforma.

Xubuntu conferma che è stato manipolato solo il pulsante di download del sito web. La distribuzione principale, i sistemi di build, i pacchetti e l'hosting delle immagini ufficiali di Ubuntu sono rimasti intatti.

Gli utenti che hanno scaricato il file «Xubuntu-Safe-Download.zip» durante questo periodo sono invitati a eliminarlo immediatamente e a eseguire una scansione del sistema utilizzando un antivirus o uno strumento anti-malware affidabile.

In risposta all'incidente, il team sta finalizzando una transizione pianificata a Hugo, un generatore di siti statici che elimina la superficie d'attacco dinamica esposta da WordPress.

La migrazione era in corso già da un po' di tempo, ma la violazione di ottobre ne ha accelerato il completamento. Una volta implementato, il nuovo sito statico eliminerà il tipo di percorso di exploit utilizzato in questa compromissione.

Per ulteriori informazioni, consulta l'annuncio ufficiale sulla mailing list di Ubuntu.