Utilizadores do Linux Snap Avisados Enquanto Atacantes Distribuem Malware Através de Aplicações Antigas Confiáveis
Uma nova campanha de fraude na Snap Store usa domínios de editores expirados para contornar sinais de confiança e entregar atualizações de aplicações maliciosas.
Snap Store, um repositório centralizado de aplicações para distribuir pacotes snap operado pela Canonical, permite aos desenvolvedores publicar aplicações com barreiras de entrada relativamente baixas, enquanto os utilizadores podem instalar e atualizar o software automaticamente através de um único canal de confiança. No entanto, essa confiança está agora em tensão.
Num post de blog, Alan Pope, uma figura de longa data da comunidade Ubuntu e antigo funcionário da Canonical, que continua a ser um publisher ativo de Snaps, mantendo quase 50 snaps com milhares de utilizadores, alerta para uma tendência preocupante que afeta os pacotes Snap. Eis do que se trata.
Durante mais de um ano, Pope e outros profissionais de segurança documentaram uma campanha persistente de snaps maliciosos que se fazem passar por aplicações de carteiras de criptomoedas. Estas aplicações falsas normalmente imitam projetos conhecidos como Exodus, Ledger Live ou Trust Wallet, levando os utilizadores a introduzir frases de recuperação da carteira, que são então transmitidas aos atacantes, resultando na drenagem de fundos.
As primeiras iterações da campanha dependiam de contas de editor recém-criadas e de páginas de loja visualmente convincentes. No entanto, segundo Pope, a última mudança representa uma escalada significativa.
Em vez de criar novas contas, os atacantes estão agora a monitorizar a Snap Store à procura de publicadores cujos nomes de domínio associados tenham expirado. Uma vez que um domínio expira, os atacantes registam-no eles próprios, desencadeiam uma redefinição de palavra-passe na conta da Snap Store ligada a esse domínio e assumem o controlo de uma identidade de publicador estabelecida. A partir daí, podem enviar atualizações maliciosas para snaps que os utilizadores possam ter confiado e instalado anos antes.
O Papa identificou pelo menos dois domínios de editores, e mais especificamente, storewise.tech e vagueentertainment.com, que foram assumidos usando este método. Em ambos os casos, snaps anteriormente inofensivos foram atualizados para incluir malware que rouba carteiras, sem alterações óbvias na identidade ou reputação do editor.
A análise dos snaps maliciosos mostra um padrão recorrente. As aplicações apresentam uma interface baseada na web que se assemelha muito ao software legítimo de carteiras. Ao serem lançadas, tentam contactar um endpoint remoto para verificar a conectividade da rede antes de prosseguir.
Se um utilizador submeter uma frase de recuperação, esta é imediatamente enviada para os servidores dos atacantes. Para quando o engano se torna evidente, os conteúdos da carteira já terão, normalmente, desaparecido.
Claro, a Canonical removeu os snaps maliciosos reportados, mas o Pope nota que a aplicação das regras muitas vezes fica atrás da descoberta, permitindo que atualizações maliciosas permaneçam disponíveis tempo suficiente para afetar os utilizadores.
Entretanto, os editores da Snap são aconselhados a manter as suas inscrições de domínio atualizadas e a ativar a autenticação de dois fatores. Ao mesmo tempo, os utilizadores são instados a evitar instalar aplicações de carteiras de criptomoedas a partir das lojas de aplicações e, em vez disso, obtê-las diretamente nos websites oficiais dos projetos.