समाप्त हो चुके डोमेन से जुड़े स्नैप पैकेजों पर नियंत्रण प्राप्त करना

कैननिकल के पूर्व इंजीनियरिंग और कम्युनिटी मैनेजर एलन पोप ने स्नैप स्टोर ऐप कैटलॉग उपयोगकर्ताओं को निशाना बनाने वाले हमलों की एक नई लहर देखी है। हमलावर नए खाते पंजीकृत करने के बजाय, पंजीकृत स्नैप डेवलपर्स के ईमेल पतों में सूचीबद्ध समाप्त हो चुके डोमेन खरीद रहे हैं। डोमेन खरीदने के बाद, हमलावर ईमेल ट्रैफ़िक को अपने सर्वर पर रीडायरेक्ट कर देते हैं और ईमेल पते पर नियंत्रण प्राप्त करने के बाद, भूले हुए पासवर्ड को पुनः प्राप्त करने की प्रक्रिया शुरू करके खाते तक पहुँच प्राप्त कर लेते हैं।

किसी मौजूदा खाते पर नियंत्रण हासिल करके, हमलावर पहले से प्रकाशित, विश्वसनीय ऐप्स में दुर्भावनापूर्ण अपडेट भेज सकते हैं, जिससे नए उपयोगकर्ताओं पर लागू होने वाली उन्नत जांच को दरकिनार किया जा सकता है और नए प्रोजेक्ट्स के लिए चेतावनी लेबल जोड़ने से बचा जा सकता है। एलन पोप ने हमलावरों द्वारा खातों को हाईजैक करने के लिए खरीदे गए कम से कम दो डोमेन (enstorewise.tech और vagueentertainment.com) की पहचान की है, लेकिन माना जाता है कि ऐसे और भी कई मामले हैं।

पहले, हमलावर केवल अपने खाते पंजीकृत करके और लोकप्रिय सॉफ़्टवेयर के आधिकारिक बिल्ड की नकल करने वाले या मौजूदा पैकेजों से मिलते-जुलते नामों का उपयोग करने वाले दुर्भावनापूर्ण पैकेज प्रकाशित करके ही काम चलाते थे (टाइपोस्क्वेटिंग)। इसके जवाब में, कैननिकल ने पहली बार स्नैप स्टोर पर पोस्ट किए गए नए पैकेज नामों का मैन्युअल सत्यापन शुरू किया। तब से, मैलवेयर वितरक मुख्य रूप से मूल पैकेज पोस्ट करने, उन्हें सोशल मीडिया पर प्रचारित करने और अंततः एक दुर्भावनापूर्ण अपडेट प्रकाशित करने पर ध्यान केंद्रित कर रहे हैं जो स्नैप स्टोर के स्वचालित जांच और फ़िल्टर को बायपास करने का प्रयास करता है।

अब हमले का तरीका समाप्त हो चुके डोमेन को दोबारा खरीदने की ओर बदल गया है, क्योंकि स्नैप स्टोर रिपॉजिटरी ने प्रासंगिकता की जांच लागू नहीं की थी। डोमेन नामईमेल पतों में उपयोग किया जाता है। पिछले साल, PyPI (पायथन पैकेज इंडेक्स) रिपॉजिटरी को इसी तरह की समस्या का सामना करना पड़ा, जिसमें समाप्त हो चुके डोमेन वाले ईमेल पतों को स्वचालित रूप से अविश्वसनीय के रूप में चिह्नित किया गया था। PyPI पर ऐसे 1800 से अधिक ईमेल पते ब्लॉक कर दिए गए थे।

स्रोत: opennet.ru