Alan Pope, bývalý manažér inžinierstva a interakcie so komunitou v spoločnosti Canonical, upozornil na novú vlnu útokov na používateľov aplikácie Snap Store. Namiesto registrácie nových účtov začali útočníci vykupovať prepadnuté domény, ktoré sa objavujú v e-maile registrovaných vývojárov snap balíkov. Po odkúpení domény útočníci presmerujú e-mailovú komunikáciu na svoj server a získajú kontrolu nad e-mailom, čo im umožní iniciovať proces obnovenia zabudnutého hesla pre prístup k účtu.
Získaním kontroly nad existujúcim účtom môžu útočníci publikovať škodlivé aktualizácie predtým vydaných dôveryhodných aplikácií, obchádzajúc rozšírené kontroly, ktoré sú aplikované na nových účastníkov, a vyhnúť sa pridaniu varovných označení pre nové projekty. Alan Pope identifikoval aspoň dve domény (enstorewise.tech a vagueentertainment.com) kúpené útočníkmi na prevzatie účtov, no predpokladá sa, že takýchto prípadov je oveľa viac.
V minulosti sa útočníci obmedzovali na registráciu vlastných účtov, pod ktorými publikovali škodlivé balíky, predstierajúce, že sú oficiálnymi zostavami populárnych programov, alebo používajúce mená podobné už existujúcim balíkom (typosquatting). V reakcii na to spoločnosť Canonical zaviedla manuálnu kontrolu nových mien balíkov, ktoré sa prvýkrát publikovali v Snap Store. Po tomto sa hlavná aktivita distribútorov škodlivého softvéru presunula na publikovanie originálnych balíkov, ich inzerovanie na sociálnych médiách a po určitom čase publikovanie škodlivej aktualizácie, ktorá sa snaží obísť existujúce automatizované kontroly a filtre v Snap Store.
Teraz sa vektor útoku presunul k odkúpeniu prepadnutých domén, pretože v repozitári Snap Store nebola implementovaná kontrola aktuálnosti doménových mien, používaných v e-mailových adresách. Minulý rok sa s podobným problémom stretol repozitár PyPI (Python Package Index), ktorý začal automaticky prevádzať e-maily s prepadnutými doménami do stavu nepotvrdených. V PyPI bolo zablokovaných viac ako 1800 podobných e-mailových adries.
Zdroj: opennet.ru
