Οι χρήστες του Linux Snap προειδοποιούνται καθώς οι επιτιθέμενοι διανέμουν κακόβουλο λογισμικό μέσω παλιών αξιόπιστων εφαρμογών

Μια νέα εκστρατεία απάτης στο Snap Store εκμεταλλεύεται ληγμένους τομείς εκδοτών για να παρακάμψει τα σήματα εμπιστοσύνης και να παραδώσει κακόβουλες ενημερώσεις εφαρμογών.

Το Snap Store, ένα κεντρικό αποθετήριο εφαρμογών για τη διανομή πακέτων snap που λειτουργεί από την Canonical, επιτρέπει στους προγραμματιστές να δημοσιεύουν εφαρμογές με σχετικά χαμηλά εμπόδια εισόδου, ενώ οι χρήστες μπορούν να εγκαθιστούν και να ενημερώνουν το λογισμικό αυτόματα μέσω ενός μόνο αξιόπιστου καναλιού. Ωστόσο, αυτή η εμπιστοσύνη βρίσκεται τώρα υπό πίεση.

Σε ένα άρθρο στο blog, ο Alan Pope, ένας παλιός γνώριμος της κοινότητας του Ubuntu και πρώην υπάλληλος της Canonical που παραμένει ενεργός εκδότης Snap, διατηρώντας σχεδόν 50 snaps με χιλιάδες χρήστες, προειδοποιεί για μια ανησυχητική τάση που επηρεάζει τα πακέτα Snap. Ακολουθεί τι συμβαίνει.

Για πάνω από ένα χρόνο, ο Pope και άλλοι επαγγελματίες της ασφάλειας έχουν τεκμηριώσει μια επίμονη εκστρατεία κακόβουλων snaps που προσποιούνται εφαρμογές πορτοφολιών κρυπτονομισμάτων. Αυτές οι ψεύτικες εφαρμογές συνήθως μιμούνται γνωστά έργα όπως τα Exodus, Ledger Live ή Trust Wallet, παρακινώντας τους χρήστες να εισάγουν φράσεις ανάκτησης πορτοφολιού, οι οποίες στη συνέχεια μεταδίδονται στους επιτιθέμενους, με αποτέλεσμα την εκκένωση των κεφαλαίων.

Οι προηγούμενες εκδόσεις της καμπάνιας βασίζονταν σε νεοδημιουργημένους λογαριασμούς εκδοτών και οπτικά πειστικές σελίδες καταστημάτων. Ωστόσο, σύμφωνα με τον Πάπα, η τελευταία αλλαγή αντιπροσωπεύει μια σημαντική κλιμάκωση.

Αντί να δημιουργούν νέους λογαριασμούς, οι επιτιθέμενοι τώρα παρακολουθούν το Snap Store για εκδότες των οποίων τα συνδεδεμένα ονόματα τομέα έχουν λήξει. Μόλις λήξει ένας τομέας, οι επιτιθέμενοι τον καταχωρούν οι ίδιοι, ενεργοποιούν την επαναφορά κωδικού πρόσβασης στον λογαριασμό Snap Store που συνδέεται με αυτόν τον τομέα και αποκτούν έλεγχο μιας καθιερωμένης ταυτότητας εκδότη. Από εκεί, μπορούν να στείλουν κακόβουλες ενημερώσεις σε snaps που οι χρήστες μπορεί να είχαν εμπιστευτεί και εγκαταστήσει χρόνια πριν.

Ο Πάπας έχει εντοπίσει τουλάχιστον δύο τομείς εκδοτών, και πιο συγκεκριμένα, τα storewise.tech και vagueentertainment.com, που καταλήφθηκαν χρησιμοποιώντας αυτή τη μέθοδο. Και στις δύο περιπτώσεις, προηγουμένως αβλαβή snaps ενημερώθηκαν ώστε να περιλαμβάνουν κακόβουλο λογισμικό για κλοπή πορτοφολιών, χωρίς εμφανείς αλλαγές στην ταυτότητα ή στη φήμη του εκδότη.

Η ανάλυση των κακόβουλων snaps δείχνει ένα επαναλαμβανόμενο μοτίβο. Οι εφαρμογές παρέχουν μια διεπαφή βασισμένη στον ιστό που μοιάζει πολύ με το λογισμικό νόμιμου πορτοφολιού. Κατά την εκκίνηση, προσπαθούν να επικοινωνήσουν με ένα απομακρυσμένο σημείο για να επαληθεύσουν τη συνδεσιμότητα δικτύου πριν προχωρήσουν.

Αν ένας χρήστης υποβάλει μια φράση ανάκτησης, αυτή αποστέλλεται αμέσως στους διακομιστές των επιτιθέμενων. Μέχρι να γίνει εμφανής η απάτη, το περιεχόμενο του πορτοφολιού έχει συνήθως ήδη χαθεί.

Φυσικά, η Canonical έχει αφαιρέσει αναφερόμενα κακόβουλα snaps, αλλά ο Pope σημειώνει ότι η εφαρμογή των μέτρων συχνά καθυστερεί σε σχέση με την ανακάλυψη, επιτρέποντας σε κακόβουλες ενημερώσεις να παραμένουν διαθέσιμες αρκετά ώστε να επηρεάσουν τους χρήστες.

Στο μεταξύ, οι εκδότες του Snap συνιστάται να κρατούν ενημερωμένες τις εγγραφές των τομέων τους και να ενεργοποιούν τον διπλό έλεγχο ταυτότητας. Ταυτόχρονα, οι χρήστες καλούνται να αποφύγουν εντελώς την εγκατάσταση εφαρμογών πορτοφολιών κρυπτονομισμάτων από τα καταστήματα εφαρμογών και να τις προμηθεύονται απευθείας από τις επίσημες ιστοσελίδες των έργων.