Alan Pope, ex-gerente de engenharia e interação com a comunidade da Canonical, chamou a atenção para uma nova onda de ataques a usuários do diretório de aplicativos Snap Store. Em vez de registrar novas contas, os golpistas começaram a adquirir domínios expirados que constam nos e-mails dos desenvolvedores registrados de pacotes Snap. Após a compra do domínio, os golpistas redirecionam o tráfego de e-mail para seu servidor e, ao obter o controle do e-mail, iniciam o processo de recuperação de senha para acessar a conta.
Ao obter controle sobre uma conta existente, os atacantes podem colocar uma atualização maliciosa de aplicativos anteriormente publicados e confiáveis, contornando as verificações rigorosas aplicadas a novos participantes e evitando a adição de rótulos de aviso sobre novos projetos. Alan Pope identificou pelo menos dois domínios (enstorewise.tech e vagueentertainment.com) comprados pelos golpistas para capturar contas, mas acredita-se que haja muitos mais casos.
No passado, os golpistas se restringiam a registrar suas próprias contas, sob as quais publicavam pacotes maliciosos se passando por compilações oficiais de programas populares, ou usavam nomes semelhantes a pacotes já existentes (typosquatting). Em resposta, a Canonical implementou uma verificação manual de novos nomes de pacotes, que são publicados pela primeira vez no Snap Store. Após isso, a principal atividade dos distribuidores de malware se concentrou na publicação de pacotes originais, sua promoção nas redes sociais e, depois de algum tempo, na publicação de uma atualização maliciosa tentando contornar as verificações automatizadas e filtros existentes no Snap Store.
Agora, o vetor de ataque se deslocou para a compra de domínios expirados, uma vez que no repositório Snap Store não foi implementada uma verificação de validade domínios, usada em endereços de e-mail. No ano passado, o repositório PyPI (Python Package Index) enfrentou um problema semelhante, que começou a traduzir automaticamente e-mails com domínios expirados para um estado de não verificação. No PyPI, mais de 1800 desses endereços de e-mail foram bloqueados.
Fonte: opennet.ru
