Övertagande av kontroll över snap-paket relaterade till utgångna domäner

Alan Pope, tidigare ingenjörs- och community manager på Canonical, har uppmärksammat en ny våg av attacker mot användare av Snap Store-applikationskatalogen. Istället för att registrera nya konton har angripare börjat köpa upp förfallna domäner som tillhör registrerade utvecklares snap-paket. Efter att ha köpt domänen omdirigerar angriparna e-posttrafiken till sin egen server och får kontroll över e-posten för att initiera processen för att återställa det glömda lösenordet för att få tillgång till kontot.

Genom att få kontroll över ett befintligt konto kan angriparna publicera skadliga uppdateringar av tidigare publicerade betrodda appar, vilket kringgår de strängare kontroller som tillämpas på nya deltagare och undviker att märkas med varningsetiketter för nya projekt. Alan Pope har identifierat minst två domäner (enstorewise.tech och vagueentertainment.com) som köpts av angripare för att kapa konton, men det antas att det finns många fler sådana fall.

Tidigare begränsade sig angriparna till att registrera egna konton under vilka de publicerade skadliga paket som utgav sig för att vara officiella versioner av populära program, eller använde namn som liknade redan existerande paket (typ-squatting). Som svar införde Canonical manuell granskning av nya paketnamn som för första gången publicerades i Snap Store. Efter detta koncentrerade den huvudsakliga aktiviteten hos spridare av skadlig programvara sig på att publicera originalpaket, marknadsföra dem på sociala medier och efter en tid publicera skadliga uppdateringar som försöker kringgå de automatiserade kontrollerna och filtren i Snap Store.

Nu har attackvektorn förskjutits mot uppköp av förfallna domäner, eftersom det inte har implementerats någon kontroll av aktualitet i Snap Store. domännamnsom används i e-postadresser. Förra året stötte PyPI (Python Package Index) på ett liknande problem, där de började automatiskt konvertera e-post med förfallna domäner till oackrediterat status. Över 1800 sådana e-postadresser har blockerats i PyPI.

Källa: opennet.ru