השתלטות על חבילות snap הקשורות לדומיינים שפג תוקפם

אלן פופ, לשעבר מנהל הנדסה וקהילה ב-Canonical, שם לב לגל חדש של מתקפות המכוונות למשתמשי קטלוג האפליקציות של Snap Store. במקום לרשום חשבונות חדשים, התוקפים החלו לקנות דומיינים שפג תוקפם המפורטים בכתובות הדוא"ל של מפתחי Snap רשומים. לאחר רכישת הדומיין, התוקפים מנתבים את תעבורת הדוא"ל לשרת שלהם, ולאחר שהשתלטו על כתובת הדוא"ל, מתחילים תהליך שחזור סיסמה שנשכחה כדי לגשת לחשבון.

על ידי השגת שליטה בחשבון קיים, תוקפים יכולים לפרוס עדכונים זדוניים לאפליקציות מהימנות שפורסמו בעבר, תוך עקיפת הבדיקות המשופרות המופעלות על משתמשים חדשים והימנעות מהוספת תוויות אזהרה לפרויקטים חדשים. אלן פופ זיהה לפחות שני דומיינים (enstorewise.tech ו-vagueentertainment.com) שנרכשו על ידי תוקפים כדי לחטוף חשבונות, אך ההערכה היא שישנם מקרים רבים נוספים כאלה.

בעבר, תוקפים הגבילו את עצמם לרישום חשבונות משלהם ופרסום חבילות זדוניות שהתחזו לגרסאות רשמיות של תוכנות פופולריות או השתמשו בשמות דומים לחבילות קיימות (typosquatting). בתגובה, קנוניקל הציגה לראשונה אימות ידני של שמות חבילות חדשים שפורסמו בחנות Snap. מאז, מפיצי תוכנות זדוניות התמקדו בעיקר בפרסום חבילות מקוריות, קידומן ברשתות החברתיות ובסופו של דבר פרסום עדכון זדוני שמנסה לעקוף את הבדיקות והמסננים האוטומטיים של חנות Snap.

כעת וקטור ההתקפה עבר לכיוון רכישה חוזרת של דומיינים שפג תוקפם, מכיוון שמאגר Snap Store לא יישם בדיקת רלוונטיות. שמות דומיין, המשמש בכתובות דוא"ל. בשנה שעברה, מאגר PyPI (Python Package Index) נתקל בבעיה דומה, וסימן אוטומטית כתובות דוא"ל עם דומיינים שפג תוקפם כלא מאומתות. יותר מ-1800 כתובות דוא"ל כאלה נחסמו ב-PyPI.

מקור: OpenNet.ru