Alan Pope, tidigare teknik- och communitychef pÄ Canonical, har noterat en ny vÄg av attacker riktade mot anvÀndare av Snap Store-appkatalogen. IstÀllet för att registrera nya konton har angriparna börjat köpa utgÄngna domÀner som listas bland e-postadresserna till registrerade Snap-utvecklare. Efter att ha köpt domÀnen omdirigerar angriparna e-posttrafiken till sin server och, efter att ha fÄtt kontroll över e-postadressen, initierar de en ÄterstÀllningsprocess för glömt lösenord för att komma Ät kontot.
Genom att fÄ kontroll över ett befintligt konto kan angripare distribuera skadliga uppdateringar till tidigare publicerade, betrodda appar, kringgÄ de utökade kontroller som tillÀmpas pÄ nya anvÀndare och undvika att varningsetiketter lÀggs till för nya projekt. Alan Pope har identifierat minst tvÄ domÀner (enstorewise.tech och vagueentertainment.com) som köpts av angripare för att kapa konton, men man tror att det finns mÄnga fler sÄdana fall.
Tidigare begrÀnsade sig angripare till att registrera sina egna konton och publicera skadliga paket som imiterade officiella versioner av populÀr programvara eller anvÀnde namn som liknade befintliga paket (typosquatting). Som svar introducerade Canonical manuell verifiering av nya paketnamn som publicerades i Snap Store för första gÄngen. Sedan dess har distributörer av skadlig kod frÀmst fokuserat pÄ att publicera originalpaket, marknadsföra dem pÄ sociala medier och sÄ smÄningom publicera en skadlig uppdatering som försöker kringgÄ Snap Stores automatiska kontroller och filter.
Nu har attackvektorn förskjutits mot att Äterköpa utgÄngna domÀner, eftersom Snap Store-arkivet inte implementerade en relevanskontroll. domÀnnamn, anvÀnds i e-postadresser. Förra Äret stötte PyPI-arkivet (Python Package Index) pÄ ett liknande problem, dÀr e-postadresser med utgÄngna domÀner automatiskt markerades som overifierade. Mer Àn 1 800 sÄdana e-postadresser blockerades pÄ PyPI.
KĂ€lla: opennet.ru
