Контрол над snap пакетите, свързани с изтекли домейни

Алан Поуп (Alan Pope), бивш менеджер по инженеринг и взаимодействие с общността в компанията Canonical, обърна внимание на нова вълна от атаки срещу потребителите на каталога на приложенията Snap Store. Вместо да регистрират нови акаунти, нападателите започнаха да купуват изтекли домейни, свързани с имейли на регистрирани разработчици на snap-пакети. След повторното закупуване на домейна, нападателите пренасочват имейл трафика към своя сървър и, получавайки контрол над имейла, инициират процеса на възстановяване на забравена парола за достъп до акаунта.

След като получат контрол над съществуващ акаунт, атакуващите могат да публикуват злонамерено обновление на преди това публикувани приложения, на които се вярва, избягвайки разширените проверки, прилагани към новите участници, и избегнал да добавят предупредителни етикети за нови проекти. Алан Поуп идентифицира поне два домейна (enstorewise.tech и vagueentertainment.com), закупени от нападатели с цел захващане на акаунти, но се предполага, че случаи като тези са много повече.

В миналото нападателите се ограничавали до регистрация на собствени акаунти, под които публикували злонамерени пакети, представящи се за официални версии на популярни програми, или използвали имена, подобни на вече съществуващи пакети (тайпсквоттинг). В отговор Canonical въведе ръчна проверка на новите имена на пакети, които за първи път се публикуват в Snap Store. След това основната активност на разпространителите на злонамерен софтуер се концентрира на публикуването на оригинални пакети, тяхното рекламиране в социалните мрежи и по-късно публикуване на злонамерено обновление, което се опитва да избегне автоматизираните проверки и филтри в Snap Store.

Сега векторът на атаката се е преместил към закупуването на изтекли домейни, тъй като в хранилището Snap Store не е била реализирана проверка на актуалността домейни имена, използвани в имейл адресите. Миналата година подобен проблем имаше и хранилището PyPI (Python Package Index), което започна автоматично да преобразува имейли с изтекли домейни в неподтвърдени. В PyPI бяха блокирани повече от 1800 такива имейл адреса.

Източник: opennet.ru