만료된 도메인과 관련된 스냅 패키지 제어

캐노니컬의 전 엔지니어링 및 커뮤니티 매니저였던 앨런 포프는 스냅 스토어 앱 카탈로그 사용자를 대상으로 하는 새로운 공격 패턴을 발견했습니다. 공격자들은 새로운 계정을 등록하는 대신, 스냅 개발자의 이메일 주소에 있는 만료된 도메인을 구매하기 시작했습니다. 도메인을 구매한 후, 공격자들은 이메일 트래픽을 자신들의 서버로 리디렉션하고, 이메일 주소를 장악한 후, 비밀번호 복구 절차를 시작하여 계정에 접근합니다.

공격자는 기존 계정을 탈취하여 이전에 게시된 신뢰할 수 있는 앱에 악성 업데이트를 배포할 수 있으며, 이를 통해 신규 사용자에게 적용되는 강화된 검사를 우회하고 새 프로젝트에 대한 경고 라벨 추가를 피할 수 있습니다. 앨런 포프는 공격자가 계정을 탈취하기 위해 구매한 도메인 두 개(enstorewise.tech 및 vagueentertainment.com)를 확인했지만, 이와 유사한 사례는 훨씬 더 많을 것으로 추정됩니다.

과거에는 공격자들이 자신의 계정을 등록하고 인기 소프트웨어의 공식 빌드를 사칭하거나 기존 패키지와 유사한 이름(타이포스쿼팅)을 사용하는 악성 패키지를 게시하는 데 그쳤습니다. 이에 대응하여 Canonical은 Snap Store에 게시되는 새로운 패키지 이름에 대한 수동 검증을 처음으로 도입했습니다. 그 이후로 악성코드 유포자들은 주로 자체 제작 패키지를 게시하고 소셜 미디어에서 홍보한 다음, Snap Store의 자동 검사 및 필터를 우회하려는 악성 업데이트를 배포하는 데 집중하고 있습니다.

이제 공격 방식은 만료된 도메인을 재구매하는 방향으로 바뀌었는데, 이는 스냅 스토어 저장소가 관련성 검사를 구현하지 않았기 때문입니다. 도메인 이름이메일 주소에 사용되는 것과 유사한 문제가 작년에 발생했습니다. PyPI(Python Package Index) 저장소에서도 비슷한 문제가 있었는데, 만료된 도메인을 사용하는 이메일 주소를 자동으로 미인증 주소로 표시했습니다. 그 결과 1800개 이상의 이메일 주소가 PyPI에서 차단되었습니다.

출처 : opennet.ru