Поемане на контрол над snap пакетите, свързани с изтекли домейни

Алън Поуп, бивш мениджър „Инженеринг и общност“ в Canonical, забеляза нова вълна от атаки, насочени към потребителите на каталога с приложения на Snap Store. Вместо да регистрират нови акаунти, нападателите са започнали да купуват изтекли домейни, посочени в имейл адресите на регистрирани разработчици на Snap. След закупуване на домейна, нападателите пренасочват имейл трафика към своя сървър и, след като получат контрол над имейл адреса, инициират процес на възстановяване на забравена парола, за да получат достъп до акаунта.

Чрез получаване на контрол над съществуващ акаунт, нападателите могат да внедрят злонамерени актуализации към предварително публикувани, надеждни приложения, заобикаляйки подобрените проверки, прилагани към нови потребители, и избягвайки добавянето на предупредителни етикети за нови проекти. Алън Поуп е идентифицирал поне два домейна (enstorewise.tech и vagugeentertainment.com), закупени от нападателите, за да отвлекат акаунти, но се смята, че има много повече такива случаи.

В миналото нападателите се ограничаваха до регистриране на собствени акаунти и публикуване на злонамерени пакети, които се представяха за официални компилации на популярен софтуер или използваха имена, подобни на съществуващи пакети (typosquatting). В отговор Canonical въведе ръчна проверка на имената на новите пакети, публикувани в Snap Store за първи път. Оттогава дистрибуторите на зловреден софтуер се фокусират предимно върху публикуването на оригинални пакети, популяризирането им в социалните медии и евентуално публикуването на злонамерена актуализация, която се опитва да заобиколи автоматизираните проверки и филтри на Snap Store.

Сега векторът на атаката се е изместил към повторно изкупуване на изтекли домейни, тъй като хранилището на Snap Store не е внедрило проверка за релевантност. имена на домейни, използван в имейл адреси. Миналата година хранилището PyPI (Python Package Index) се сблъска с подобен проблем, като автоматично маркира имейл адреси с изтекли домейни като непроверени. Повече от 1800 такива имейл адреса бяха блокирани в PyPI.

Източник: opennet.ru