Officiële website Xubuntu deelde tijdelijk malware via downloadpagina

Criminelen hebben enkele dagen lang malware verspreid via de officiële website van de Linux-distro Xubuntu. Inmiddels is de malafide downloadlink offline gehaald en wordt er aan een oplossing gewerkt. Het is niet duidelijk hoeveel mensen getroffen zijn door de cyberaanval.

Afbeelding via Reddit

Volgens gebruikers op Reddit werd via de officiële website van Xubuntu een bestand gedeeld met de naam 'XubuntuSafeDownload.zip'. Eenmaal uitgepakt kregen gebruikers een .exe-bestand te zien waarmee naar verluidt malware werd geïnstalleerd om cryptovaluta-adressen uit het klembord te kopiëren. Een .exe-bestand is voor Linux-gebruikers vermoedelijk opvallend, omdat distributies in principe altijd als .iso-bestand geleverd worden en niet als Windows-executable.

Uit een verklaring van een van de makers van de Ubuntu-fork blijkt dat er een fout is gemaakt met betrekking tot de hostingomgeving. Mogelijk zijn criminelen via die weg het systeem binnengedrongen, maar de makers geven geen verdere details over het incident. De downloadpagina van het besturingssysteem toont op het moment van schrijven de versie Xubuntu 24.04. Deze versie kwam in april 2024 uit. De nieuwste versie van het OS is 25.10.

Reacties (33)

[PMvE]

Had een SHA verificatie sleutel die ik vaak bij linux iso's zie staan dit kunnnen afvangen?

[h3x4d3c1m4l]

Nee, helaas. Met een hash kun je niet verifieren van wie een bestand afkomstig is. Alleen of het bestand intact is.

Zou die .exe bijvoorbeeld voorzien zijn van een digitale handtekening, dan zou je die kunnen checken tegen een bekende sleutel van bijvoorbeeld Canonical of van de beheerders van Xubuntu aan.

[CAPSLOCK2000]

Eenmaal uitgepakt kregen gebruikers een .exe-bestand te zien waarmee naar verluidt malware werd geïnstalleerd om cryptovaluta-adressen uit het klembord te kopiëren. Een .exe-bestand is voor Linux-gebruikers vermoedelijk opvallend, omdat distributies in principe altijd als .iso-bestand geleverd worden en niet als Windows-executable.

Wat een incompetente klungel. Dit was een gouden kans om veel meer te doen dan het klembord plunderen. De installer had één grote rootkit/backdoor kunnen zijn.

Af en toe ben ik blij dat de meeste criminelen dom en opportunistisch zijn, dit had veel erger kunnen uitpakken.

[TweakerCarlo]

Zouden ze dit niet bewust doen om bepaalde doelgroepen te targetten die niet 'slim' genoeg zijn om vervolgstappen te ondernemen.

Excuus voor woordkeuze, bedoel het goed.

[Zarif]

Dat zou zomaar kunnen. Vaak worden in spammails bijvoorbeeld opzettelijk grammaticale fouten gezet of ziet het er iets te nep uit om niet 'te succesvol' te zijn, want dat trekt te veel aandacht.

[Rikkert86]

Dat zal de kans op (eerdere) detectie ook alleen maar groter maken. Hoe meer je aanraakt....

[Dark Angel 58]

lol zwaar balen... maar is checksum controle genoeg? Kunnen de hackers het eigen checksum met gemak vervangen? Zodat het in orde is en dat we geen argwaan krijgen???

Best goede vraag

[3dfx]

Checksum zorgt alleen dat je zeker weet dat alle bitjes van het bestand correct zijn binnengekomen, niet of het bestand zelf legitiem en veilig is.

Wanneer hackers de checksum van hun bestand op de website bij de downloadlink plaatsen, weet je dus nog niet of het koosjer is.

Doen ze dat niet, dan zou het wel kunnen opvallen, omdat de checksum van het bestand verschilt met wat er op de website staat.
Echter moet de downloader nog steeds wel de kennis en zin hebben om de checksum te verifiëren

[Emielio]

Zuur voorbeeld van een gekaapte distributieketen: via de Xubuntu-site is kortstondig malware aangeboden. Goed dat de link snel is uitgeschakeld; nu graag een transparant post-mortem en een strak herstelplan. Denk aan hardening van hosting, strengere release-hygiëne (checksums/handtekeningen standaard, sleutelbeheer, 2FA) en CI/CD-signing. Voor gebruikers: blijf bron en integriteit van downloads verifiëren—dit soort aanvallen teert op routine, niet op techniek.
Edit: @Jeffrey87 Klopt dat in dit geval. Opmerking was meer algemeen.

[Reactie gewijzigd door Emielio op 20 oktober 2025 14:12]

[Flex-Able]

Precies, dit soort incidenten komen helaas steeds vaker voor nu Linux-distributies populairder worden bij zowel hobbyisten als professionele gebruikers. De toename in populariteit maakt Linux ook aantrekkelijker voor cybercriminelen, die proberen in te breken in de softwareketen of officiële downloadkanalen te misbruiken. Controleer altijd de checksums (SHA256/SHA512)

[Reactie gewijzigd door Flex-Able op 20 oktober 2025 14:03]

[Altamyr]

Is er een goede uitleg die je aanraadt over checksums? Als Linux leek heb ik daar nog nooit over gehoord namelijk, en ik gebruik het nu wel sinds een kleine week

[IIsnickerII]

https://help.rublon.com/en/support/solutions/articles/1000308518-how-to-verify-sha-256-checksum-

Dit legt het aardig goed uit. Ik ben al lang van mening geweest dat checksum checking makkelijker moet worden doordat je bijv. het door de browser kunt laten uitvoeren. Veel standaard gebruikers zitten helemaal niet te wachten op een ingewikkelde command.

edit:
De link legt vooral uit hoe het werkt voor files op hun eigen site, maar is gewoon toe te passen op elke download van een site die de SHA-checksum ergens op de downloadpagina toont.

[Reactie gewijzigd door IIsnickerII op 20 oktober 2025 14:26]

[killercow]

Browsers doen al checksum checking op SubResources. Eg, files die ze zelf executen. Het zou inderdaad ook toegevoegd kunnen worden op 'gedownloade files', echter als je de website zelf kan aanpassen (zodat deze naar een malafide link wijst) kun je vast ook de 'bijbehorende' checksum aanpassen. Daar zou je in dit geval niets mee winnen.

Wat wel zou werken is trusted signers, oftewel PGP signed files, maar ook dat staat of valt bij waar je dan je vertrouwde sleutels op haalt. Wellicht in dns?

[IIsnickerII]

Niet als je de checksum zou uitvoeren op het gedownloade bestand. Min of meer hetzelfde wat je zelf handmatig kan doen. Lijkt me zeer onwijs om de checksum als Metadata mee te sturen.

[Christoxz]

Een checksum is een reeks aan tekens die je kan genereren van een bron, bijvoorbeeld een bestand, tekst, foto's etc die gebruikt kan worden om twee de zelfde bestanden met elkaar te vergelijken, om zeker te weten of de twee bestanden identiek zijn.
Dit is niet iets specifiek voor Linux, dit zie je bij heel veel downloads en ook andere toepassingen.

Stel ik geef jou een bestand en geef aan dat de checksum "A123" is, en jij genereert een andere checksum, dan weet jij dat het bestand dat je hebt ontvangen, niet identiek is.

Een ander voorbeeld is als je bestanden kopieert, door een checksum kan je sneller inzien of er niks corrupt is geraakt, net zoals bij een download.

Echter in dit geval met Xubuntu had een checksum niks uitgemaken, aangezien waarschijnlijk de hackers ook de checksum op de pagina had kunnen wijzingen.

[Reactie gewijzigd door Christoxz op 20 oktober 2025 14:24]

[hachee]

Echter in dit geval met Xubuntu had een checksum niks uitgemaken, aangezien waarschijnlijk de hackers ook de checksum op de pagina had kunnen wijzingen.

Gezien het enkel de site betrof, hadden ze om het nog eenvoudiger te maken daar dan weer GPG keys voor kunnen toepassen : +)

e.g als met Fedora:

Verify your download for security and integrity using the proper checksum file. If there is a good signature from one of the Fedora keys, and the SHA256 checksum matches, then the download is valid.

Download the checksum file into the same directory as the image you downloaded.
Import Fedora's GPG key(s)
curl -O https://fedoraproject.org/fedora.gpg
fa-solid:info-circleYou can verify the details of the GPG key(s) here.
Verify the checksum file is valid
gpgv --keyring ./fedora.gpg Fedora-Workstation-42-1.1-x86_64-CHECKSUM
Verify the checksum matches
sha256sum --ignore-missing -c Fedora-Workstation-42-1.1-x86_64-CHECKSUM
If the output states that the file is valid, then it's ready to use!

[Christoxz]

Maar de GPG komt ook vanuit de website, dus die had dan toch ook aangepast kunnen worden? Tenzij je de GPG al zou hebben, maar dat is minder aannemelijk.

[hachee]

Tenzij je de GPG al zou hebben

Dat is waar, ik stel dan voor om nog een extra controlerende GPG/blockchain laag van één of beter meerdere nevenpartijen daarboven te plaatsen (e.g download via https://gpg.gnu.org )

[Reactie gewijzigd door hachee op 20 oktober 2025 15:49]

[cricque]

Een checksum is gewoon een "tekst" van x aantal karakters. Deze x aantal karakters bevatten wat info. Deze kan je vergelijken met hetgeen je gedownload hebt, door een nieuwe aan te maken. Als deze overeenkomen dan weet je dat het bestand dat je gedownload hebt het echte bestand is. Als deze "check" niet correct is, dan komt het niet overeen en heb je een bestand dat corrupt is. Ik kies hier bewust voor corrupt, want het wilt niet zeggen dat er daarvoor meet geprutst is. De download kan ook corrupt zijn (kans is minimaal, maar het zou kunnen).

[Kheos]

Ik vind het altijd wel vreemd dat er dan van uit wordt gegaan dat de download zelf gecompromitteerd kan zijn, maar dat de aanvaller geen nieuwe hash kan genereren. Waarom niet?

[RVW]

Het marktaandeel van Linux op de desktop is het afgelopen jaar met bijna anderhalve procent afgenomen, van 4,48% naar 3,16%, dus welke toename van populariteit heb jij het over? Bron: https://gs.statcounter.com/os-market-share/desktop/worldwide/

[schermer]

Maar een lager % van meer systemen kan nog steeds meer gebruikers zijn.

[TheVivaldi]

Precies. En daarbij zijn die procenten op zulke sites natuurlijk alleen maar schattingen.

Dat Linux populairder wordt, blijkt wel, want bijv. de AUR van Arch is de laatste tijd ook al meermaals aangevallen. Aanvallers doen dat niet als ze maar een handjevol mensen treffen.

[Rikkert86]

Als de actor de downloadlinks kan aanpassen , kan hij er ook een checksum bij zetten van zijn eigen, zogenaamd veilige, bestand. Dus dat had hier weinig verteld over de integriteit van het bestand. Sha checksums bewijzen alleen maar dat je het juiste bestand hebt ontvangen zoals bedoeld, maar als ze de download kunnen aanpassen, lijkt mij dat het aanpassen van die getoonde checksum bij de download stap 2 is, en dus niks zeggend is in of het bestand veilig is.

[Reactie gewijzigd door Rikkert86 op 20 oktober 2025 17:27]

[Jeffrey87]

In dit geval heeft bron verificatie niet zoveel zin, aangezien je het al vanaf een (normaal gesproken) betrouwbare bron hebt gedownload. Checksum (integriteit) controleren zou dan de volgende stap zijn, maar aangezien de bron gecompromitteerd is, kunnen kwaadwillenden ook de checksum files hebben gewijzigd.

@Emielio In het algemeen zijn deze stappen uiteraard wel best practice, maar in dit uitzonderlijke geval dus niet.

[Reactie gewijzigd door Jeffrey87 op 20 oktober 2025 14:25]

[Pinkys Brain]

Beetje project gebruikt PGP signatures. Maar waarom is er geen IETF RFC om downloads te tekenen met een speciaal CA certificaat? Dan kan de browser laten zien dat de download afkomstig is van de gecertificeerde build environment.

Speciaal certificaat zodat je niet het HTTPS certificaat hoeft te gebruiken, wat nutteloos is als de webserver is gecompromitteerd. Dat kan dan in een HSM bij github of welk build environment dan ook. Web frontends zijn nou eenmaal de minst betrouwbare componenten van het internet.

PS. net zoals Microsoft doet voor Windows installatie files.

[Reactie gewijzigd door Pinkys Brain op 20 oktober 2025 15:48]

[Rikkert86]

Je kan het zo mooi maken als je wilt, maar de eindgebruiker blijft vooral het probleem. Al zou bovenstaande allemaal geïmplementeerd zijn, zal nog steeds het gros van de eindgebruikers hier niks mee doen en gewoon klikken/downloaden/openen naar hartelust, helaas.

[Jeffrey87]

Alsof dit niet bij andere distro's kan gebeuren bedoel je?

[hfolkers]

ja want daar kan dit natuurlijk niet voorkomen

[divvid]

alsof daar nix mis kan gaan?....

[bwerg]

Waarom zou je geen ubuntu gebruiken als er een lek is bij de website van Xubuntu? Klok en klepel...