Alan Pope, bývalý manažer pro inženýrství a vztahy s komunitou ve společnosti Canonical, si všiml nové vlny útoků na uživatele katalogu aplikací Snap Store. Místo zakládání nových účtů začali útočníci odkoupit propadlé domény, které figurují v e-mailech registrovaných vývojářů snap balíčků. Po odkupu domény útočníci přesměrovávají e-mailový provoz na svůj server a po získání kontroly nad e-mailem zahajují proces obnovení zapomenutého hesla pro přístup k účtu.
Po získání kontroly nad existujícím účtem mohou útočníci zveřejnit škodlivou aktualizaci dříve publikovaných důvěryhodných aplikací, a to obcházením přísných kontrol, které se vztahují na nové účastníky, a vyhnout se přidání varovných štítků o nových projektech. Alan Pope identifikoval minimálně dvě domény (enstorewise.tech a vagueentertainment.com), které byly odkoupány útočníky za účelem převzetí účtů, avšak předpokládá se, že takových případů je mnohem více.
V minulosti se útočníci omezovali na registraci vlastních účtů, pod kterými publikovali škodlivé balíčky, vydávající se za oficiální sestavení populárních programů, nebo používali názvy podobné již existujícím balíčkům (typosquatting). V reakci na to společnost Canonical zavedla ruční kontrolu nových názvů balíčků, poprvé zveřejněných v Snap Store. Po tomto se hlavní aktivita distributorů malwaru soustředila na publikaci originálních balíčků, jejich propagaci na sociálních sítích a po nějaké době zveřejnění škodlivé aktualizace, pokoušející se obejít automatizované kontroly a filtry, které v Snap Store existují.
Nyní se vektor útoku posunul směrem k odkupu propadlých domén, protože v repozitáři Snap Store nebyla zavedena kontrola aktuálnosti doménových jmen, používaných v e-mailech. Minulý rok se s podobným problémem setkal repozitář PyPI (Python Package Index), který začal automaticky převádět e-maily s propadlými doménami do stavu nepotvrzených. V PyPI bylo zablokováno více než 1800 takových e-mailových adres.
Zdroj: opennet.ru
