Alan Pope, ancien responsable de l'ingénierie et des relations avec la communauté chez Canonical, a attiré l'attention sur une nouvelle vague d'attaques contre les utilisateurs du catalogue d'applications Snap Store. Au lieu de s'inscrire de nouveaux comptes, des attaquants ont commencé à racheter des domaines expirés associés aux adresses email des développeurs de paquets snap. Après avoir racheté le domaine, les attaquants redirigent le trafic email vers leurs serveurs et, ayant pris le contrôle de l'email, déclenchent le processus de récupération du mot de passe oublié pour accéder au compte.
En prenant le contrôle d'un compte existant, les attaquants peuvent déployer une mise à jour malveillante des applications fiables déjà publiées, contournant les vérifications renforcées appliquées aux nouveaux participants, et évitant d'ajouter des étiquettes d'avertissement sur les nouveaux projets. Alan Pope a identifié au moins deux domaines (enstorewise.tech et vagueentertainment.com) rachetés par des attaquants pour s'emparer de comptes, mais il est supposé qu'il y a beaucoup d'autres cas.
Par le passé, les attaquants se limitaient à s'inscrire avec leurs propres comptes afin de publier des paquets malveillants se faisant passer pour des versions officielles de programmes populaires, ou en utilisant des noms similaires à ceux de paquets déjà existants (typosquatting). En réponse, Canonical a mis en place une vérification manuelle des nouveaux noms de paquets d'abord publiés dans le Snap Store. Suite à cela, l'activité principale des distributeurs de logiciels malveillants s'est concentrée sur la mise en ligne de paquets originaux, leur promotion sur les réseaux sociaux et la publication, après un certain temps, d'une mise à jour malveillante qui tente de contourner les vérifications et filtres automatisés existants dans le Snap Store.
Maintenant, le vecteur d'attaque s'est déplacé vers le rachat de domaines expirés, puisque le Snap Store n'a pas mis en place de vérification de la validité complets, utilisée dans les adresses email. L'année dernière, le dépôt PyPI (Index de paquets Python) a rencontré un problème similaire, ayant commencé à traduire automatiquement les emails avec des domaines expirés en état non vérifié. Plus de 1800 de ces adresses email ont été bloquées sur PyPI.
Source : opennet.ru
