Ubuntu e ransomware

[frapox]

Mi raccomando, andate avanti a (consigliare di) installare roba a caso dai PPA.

Edit [2025-11-08 17:28:57+01:00]: specifico anche qui che al momento non ci sono prove certe di una compromissione del PPA segnalato dall'utente su Reddit.
Resta comunque il sospetto che quel PPA o comunque un PPA sia stato il veicolo di infezione che ha portato il ransomwre nel PC di quell'utente.

[xavier77]

Letto la discussione su reddit, anche se alcuni commenti sono stati eliminati.
C'è chi dice di aver visionato i sorgenti non trovando niente di strano.
Così, su due piedi, potrebbe essere un banale troll...

[frapox]

Non penso si tratti di una trollata. L'utente poi ha fornito tutti i dettagli in un post successivo, e anche su Github da dove ha installato i PPA.


Nei link a github dove dice di aver preso i PPA:

https://github.com/TibixDev/winboat/iss ... 3492664617
C'è uno che ipotizza che il pacchetto FreeRDP non contenesse un ransomware di per sé ma contenesse una reverse shell che poi installasse il malware vero e proprio.

In ogni caso, per quanto i contorni siano ancora non del tutto chiari, è del tutto plausibile che sia correlato a qualche PPA preso a caso da un Github. Che poi è esattamente quello che fanno moltissimi utenti (su questo forum e non), di prendere link, PPA o persino dare fiducia cieca a repo Github contenenti driver di dubbia autenticità. E prima o poi qualcuno si infetta...

[Alien321]

Per me è una Trollata, ci sono un po di cose che non sono chiare

[OMBRA_Linux]

Trollata o no, è qualcosa di fattibile che prima o poi accadrà.
Ecco perchè sono per il Software di default, o quanto meno cerco sempre di usare quello.

[xavier77]

Mi raccomando, andate avanti a (consigliare di) installare roba a caso dai PPA.

Comunque, in attesa di avere qualche elemento in più per chiarire, sottolineo che:
1. Neanche usare esclusivamente i reposirory di una distribuzione in uso non è garanzia totale di sicurezza (banale anche dirlo).
2. Chi installa roba di terze parti (pacchetti, librerie, eseguibili ecc.) lo fa assumendosi i rischi del caso.

[frapox]

Mi raccomando, andate avanti a (consigliare di) installare roba a caso dai PPA.

Comunque, in attesa di avere qualche elemento in più per chiarire, sottolineo che:
1. Neanche usare esclusivamente i reposirory di una distribuzione in uso non è garanzia totale di sicurezza (banale anche dirlo).
2. Chi installa roba di terze parti (pacchetti, librerie, eseguibili ecc.) lo fa assumendosi i rischi del caso.

La garanzia totale di sicurezza ce l'hai solo a PC spento. Detto ciò, mi pare abbastanza scontato che trovare malware nei repo ufficiale sia un evento quasi impossibile (e il caso xz è tipo l'unico che può essere citato in piu di 30 anni, sebbene le debian e derivate non abbiano avuto neanche il tempo di includere la versione infetta nei loro repo). Non lo stesso si può dire dei PPA (o dei COPR o dei AUR, il discorso è uguale anche per le altre distro ovviamente) visto che ciclicamente si scopre qualche repo farlocco.

La responsabilità e la consapevolezza sono due cose differenti. Chi installa da PPA certo se ne assume la responsabilità, il problema è che in pochi si rendono davvero conto di cosa vuol dire prendere un software da PPA, quali sono i rischi reali, che per altro sono molto variabili.

Quindi aggiungerei: la responsabilità è anche di chi consiglia i PPA o altri repo non ufficiali a cuore leggero, senza fare le opportune verifiche prima di consigliarli e/o senza avvertire l'utente.

[Duke_Fleed]

Ho letto anche io la discussione su Reddit, non so che cosa pensare onestamente, non mi esprimo. Quello che so è che quando usavo solo Ubuntu cercavo di installare dai PPA solo se necessario. Su EndeavourOS con AUR stessa cosa, solo quelli conosciuti (es. Chrome, Xsane) e comunque controllo sempre il PKGBUILD prima di installare.

[OMBRA_Linux]

Se uno proprio ci tiene a usarli, almeno li testi prima in una VM o sandbox (tipo VirtualBox, Docker o Firejail).
La sicurezza deve essere gestita con un pò di che è sempre superiore all'AI.

[Alien321]

Se uno proprio ci tiene a usarli, almeno li testi prima in una VM o sandbox (tipo VirtualBox, Docker o Firejail).
La sicurezza deve essere gestita con un pò di che è sempre superiore all'AI.

Un consiglio un po alla membro di segugio, anche quando era giovane e mi divertivo a scrivere "scherzetti software" li facevo attivare anche 6 mesi dopo che
erano stati eseguiti (il 1 di aprile normalmente....ehehehe)
Quanto tempo li provi in VM?

Io consiglio di informarsi sui repository, e vedere se sono affidabili. Altrimenti fate come be, compilate da sorgenti e create i vostri pacchetti, oggi come
oggi è molto più facile di una volta

[caturen]

Chi installa da PPA certo se ne assume la responsabilità, il problema è che in pochi si rendono davvero conto di cosa vuol dire prendere un software da PPA, quali sono i rischi reali, che per altro sono molto variabili.

come se i problemi stessero solo nei ppa. Come se aur fosse diverso. E che ne diciamo dei vari snap e flatpack fatti dal primo che capita?

[frapox]

come se i problemi stessero solo nei ppa.

Scusa, esattamente io dove avrei detto che il problema è solo nei PPA?

Come se aur fosse diverso.

autocitandomi:

Non lo stesso si può dire dei PPA (o dei COPR o dei AUR, il discorso è uguale anche per le altre distro ovviamente) visto che ciclicamente si scopre qualche repo farlocco.

Ma leggere prima di rispondere con sto tono saccente del piffero, no?

E che ne diciamo dei vari snap e flatpack fatti dal primo che capita?
Schermata_20251107_210541.png

non dal primo che capita ma da un team ristretto di "flatpakers" (non so se il termine sia corretto, eventualmente @emanuc correggimi) che puoi vedere sul loro repo:
https://github.com/flathub/com.google.Chrome
Questi sostanzialmente prendono il deb ufficiale e lo re-impacchettano come flatpak.

Quindi le probabilità di infezione da un flatpak ufficioso non sono nulle ma essendo curato da questo team è comunque piuttosto bassa. Infatti non mi pare ci sia stato nemmeno un caso di malware trasmesso via Flathub in 10 anni e passa di attività.
Sullo store Snap invece c'è tanta monnezza, pure alcuni pacchetti di software chiusi reimpacchettati senza alcun permesso.

Ma non era comunque una discussione a tema flatpak o Snap, qui il problema si è generato da un PPA infetto preso a caso dal web, che quindi si dimostra una via privilegiata di infezione su Ubuntu.

PS.
https://www.ilsoftware.it/ransomware-su ... -linganno/

[OMBRA_Linux]

Se uno proprio ci tiene a usarli, almeno li testi prima in una VM o sandbox (tipo VirtualBox, Docker o Firejail).
La sicurezza deve essere gestita con un pò di che è sempre superiore all'AI.

Un consiglio un po alla membro di segugio, anche quando era giovane e mi divertivo a scrivere "scherzetti software" li facevo attivare anche 6 mesi dopo che
erano stati eseguiti (il 1 di aprile normalmente....ehehehe)
Quanto tempo li provi in VM?

Io consiglio di informarsi sui repository, e vedere se sono affidabili. Altrimenti fate come be, compilate da sorgenti e create i vostri pacchetti, oggi come
oggi è molto più facile di una volta

Ah beh, questo si è sempre fatto fin dai tempi di Windows.
Addirittura lo facevano anche alcuni negozi che ti vendevano i PC solo per fartelo poi portare in assistenza.
Io, però, sono per i software di default.
Non ho mai installato PPA esterni.
(L'unico software esterno che installo spesso è Chrome.)

Anzi, se proprio devo dirla tutta, in post precedenti ho sempre sostenuto che un sistema operativo dovrebbe avere già tutto di default, senza che si debba ricorrere a software di terze parti solo perché più avanzato.
Penso che, una volta venuti a conoscenza del fatto che gli utenti cercano e installano un certo tipo di software con funzioni specifiche, gli sviluppatori Linux, ma vale anche per altri sistemi operativi, dovrebbero crearne uno simile, evitando così che l’utente si esponga al rischio di installare software malevolo.

È ovvio che un malware può essere attivato dopo un certo periodo di tempo, ma questo vale per qualsiasi forma di virus: e comunque dipende da chi lo programma.
Detto questo, se proprio si vuole usare un PPA, è consigliabile farlo in ambiente virtuale.
Ma a parte tutto questo, chi ti dice che uno non lo testa in VM per tre anni, proprio per prendere in giro il Lamer che l'ha creato?

[xavier77]

Qualcuno ha fatto il punto:
https://www.omgubuntu.co.uk/2025/11/lin ... no-malware
PS: la situazione sembra chiarita ma potrebbero esserci degli aggiornamenti.

[frapox]

Qualcuno ha fatto il punto:
https://www.omgubuntu.co.uk/2025/11/lin ... no-malware
PS: la situazione sembra chiarita ma potrebbero esserci degli aggiornamenti.

MA chi ha analizzato quel pacchetto di freeRDP come lo ha analizzato?

Cioè ha controllato solo che il payload non fosse presente nel pacchetto scaricato dal PPA oppure ha controllato anche che il malware non venisse scaricato in un secondo momento? (come da ipotesi da me riportata in precedenza). L'articolo questo non lo dice. Così come non fornisce una spiegazione plausibile alternativa al PPA infetto su come sia possibile che un utente di Ubuntu si sia preso un ransomware, ma d'accordo non era lo scopo dell'articolo.

Così come al momento non ci sono prove ma solo sospetti che quel PPA fosse il veicolo del malware, non è nemmeno da escludere che altri non lo fossero. Secondo me resta l'ipotesi più probabile.

Ma ok, non ci sono prove, cosi come non ci sono prove neanche che sia stata una "trollata" (da parte di chi poi, non è dato sapere) quindi lo scrivo anche nel primo post così da evitare di diffondere il panico (che non mi pare si sia generato, ma vabbe non sia mai).

Nonostante tutto questo secondo me la precauzione è d'obbligo; l'isteria, no; la caccia alle streghe, no. Però stare molto attenti e diffidare dei PPA di terzi per me è e resta un buon antidoto alle possibili minacce che ormai sono anche nel mondo Linux (vedi il recente caso dell AUR di Google Chrome usato come veicolo di infezione).

Winboat è presente come pacchetto ufficiale sul sito del progetto per tutte le distro principali oltre che come Appimage. Forse se uno vuole scaricarlo fa prima a prenderlo da lì.

Grazie per il link, comunque.

[OMBRA_Linux]

Beh, anche qui https://infotelematico.com/ransomware-p ... epository/ non è chiaro.
Mi chiedo se, prima di rimuovere l’account, abbiano effettuato un’indagine sia sul pacchetto sia sull’account, magari riuscendo a risalire alla persona.

[PC ZERO]

Dai, alla fine è uno dei tanti casi di pacchetti infetti già visti altrove, un può essere prudente quanto vuole ma il rischio c'è sempre.
Da manjaro user che bazzica su AUR, l'importante è fare sempre una preghiera a St. Ignucius prima di scaricare qualsiasi pacchetto.

Fin'ora ha funzionato egregiamente.

[caturen]

[Duke_Fleed]

Da manjaro user che bazzica su AUR, l'importante è fare sempre una preghiera a St. Ignucius prima di scaricare qualsiasi pacchetto.

Fin'ora ha funzionato egregiamente.

Ogni volta che si deve installare qualcosa da AUR si consiglia sempre di controllare il PKGBUILD, è una delle prime cose che ho imparato usando una derivata di Arch. Nel caso di Chrome menzionato da frapox, il vero pacchetto di Chrome è google-chrome e non google-chrome-stable, e come dice l'articolo, leggendo il PKGBUILD si vedeva che c'era qualcosa che non andava (script python).

[OMBRA_Linux]

Da manjaro user che bazzica su AUR, l'importante è fare sempre una preghiera a St. Ignucius prima di scaricare qualsiasi pacchetto.

Fin'ora ha funzionato egregiamente.

Ogni volta che si deve installare qualcosa da AUR si consiglia sempre di controllare il PKGBUILD, è una delle prime cose che ho imparato usando una derivata di Arch. Nel caso di Chrome menzionato da frapox, il vero pacchetto di Chrome è google-chrome e non google-chrome-stable, e come dice l'articolo, leggendo il PKGBUILD si vedeva che c'era qualcosa che non andava (script python).

ArchWiki stesso chiarisce chei pacchetti AUR sono user produced content e non ufficiali.
Quindi la responsabilità è dell’utente, ma ovviamente non è detto che ogni PKGBUILD sia pericoloso.
Fonte: https://wiki.archlinux.org/title/Arch_User_Repository