Контрол върху snap пакетите, свързани с изтекли домейни

Алан Поуп (Alan Pope), бивш мениджър по инженерство и взаимодействие с общността в компанията Canonical, обърна внимание на нова вълна атаки срещу потребителите на каталога на приложенията Snap Store. Вместо да регистрират нови акаунти, злонамерени лица започнаха да купуват изтекли домейни, свързани с имейл на регистрирани разработчици на snap пакети. След повторно придобиване на домейна, злонамерените лица пренасочват имейл трафика към своя сървър и, след като получат контрол над имейла, иницират процеса на възставновяване на забравена парола за достъп до акаунта.

След получаване на контрол над съществуващ акаунт, атакуващите могат да публикуват злонамерено обновление на преди публикувани надеждни приложения, заобикаляйки разширените проверки, прилагани към нови участници, и избягвайки добавянето на предупредителни знаци за нови проекти. Алан Поуп е открил поне два домейна (enstorewise.tech и vagueentertainment.com), закупени от злонамерени лица за овладяване на акаунти, но се предполага, че подобни случаи са много повече.

В миналото злонамерените лица се ограничаваха до регистрация на собствени акаунти, от които публикуваха злонамерени пакети, представящи се за официални версии на популярни приложения, или използваха имена, подобни на вече съществуващи пакети (type-squatting). В отговор, компанията Canonical въведе ръчна проверка на новите имена на пакети, които за първи път се публикуват в Snap Store. След това основната активност на разпространителите на злонамерен софтуер се съсредоточи върху публикуването на оригинални пакети, тяхното рекламиране в социалните мрежи и публикуването на злонамерено обновление след известно време, опитващо се да заобиколи автоматизираните проверки и филтри в Snap Store.

Сега векторът на атаката се е пренасочил към повторно придобиване на изтекли домейни, тъй като в репозиторият Snap Store не е била реализирана проверка на актуалността домейн имена, използвани в имейл адресите. Миналата година репозиторият PyPI (Python Package Index) се сблъска с подобен проблем, който започна да автоматично превежда имейлите с изтекли домейни в статуса на непотвърдени. В PyPI бяха блокирани повече от 1800 подобни имейл адреса.

Източник: opennet.ru