GitHub haalt repository van xz offline na vinden van malware

GitHub heeft de centrale repo van xz offline gehaald. Volgens het platform overtrad xz de algemene voorwaarden. Eerder deze week bleek er malware te worden verstuurd met de compressietool, waardoor veel Linux-distro’s kwetsbaar werden.

De repo, tukaani-project/xz, is niet meer te vinden op GitHub. Het platform zegt dat het repository zelf heeft uitgeschakeld omdat dat GitHubs gebruikersvoorwaarden zou overtreden, al geeft het daar geen details over. GitHub staat malware niet toe.

De compressietool xz kwam vrijdag in het nieuws toen bleek dat die mogelijk malware bevatte. In versies 5.6.0 en 5.6.1 lijkt een backdoor te zitten waarmee het mogelijk is om onder andere ssh-verbindingen over te nemen. Daar is nog veel niet over bekend, maar het heeft er inmiddels alle schijn van dat iemand malware in de repo heeft geplaatst in de hoop die naar meerdere Linux-distro’s te verspreiden.