Linux Snap-gebruikers gewaarschuwd terwijl aanvallers malware verspreiden via oude vertrouwde apps

Een nieuwe Snap Store-oplichtingscampagne misbruikt verlopen uitgeversdomeinen om vertrouwenssignalen te omzeilen en kwaadaardige app-updates te leveren.

Snap Store, een gecentraliseerde applicatierepository voor het distribueren van snap-pakketten die wordt beheerd door Canonical, stelt ontwikkelaars in staat om applicaties te publiceren met relatief lage toetredingsdrempels, terwijl gebruikers software automatisch kunnen installeren en bijwerken via één vertrouwd kanaal. Die betrouwbaarheid staat echter nu onder druk.

In een blogpost waarschuwt Alan Pope, een lange tijd actieve figuur in de Ubuntu-community en voormalig Canonical-medewerker die nog steeds een actieve Snap-uitgever is en bijna 50 snaps onderhoudt met duizenden gebruikers, voor een zorgwekkende trend die Snap-pakketten treft. Dit is waar het allemaal om draait.

Al meer dan een jaar documenteren Pope en andere beveiligingsprofessionals een aanhoudende campagne van kwaadaardige snaps die zich voordoen als cryptocurrency-portemonnee-apps. Deze nep-apps bootsen meestal bekende projecten na, zoals Exodus, Ledger Live of Trust Wallet, en vragen gebruikers hun herstelzinnen voor de portemonnee in te voeren, die vervolgens naar aanvallers worden verzonden, wat resulteert in leeggehaalde fondsen.

Verdere eerdere versies van de campagne vertrouwden op nieuw aangemaakte uitgeversaccounts en visueel overtuigende winkelpagina's. Volgens Pope betekent de nieuwste verschuiving echter een aanzienlijke escalatie.

In plaats van nieuwe accounts aan te maken, houden aanvallers nu de Snap Store in de gaten voor uitgevers waarvan de bijbehorende domeinnamen zijn verlopen. Zodra een domein verloopt, registreren de aanvallers het zelf, activeren ze een wachtwoordreset op het Snap Store-account dat aan dat domein is gekoppeld, en krijgen ze controle over een bestaande uitgeversidentiteit. Van daaruit kunnen ze kwaadaardige updates naar snaps sturen die gebruikers mogelijk jaren eerder hebben vertrouwd en geïnstalleerd.

Pope heeft ten minste twee uitgeversdomeinen geïdentificeerd, en meer specifiek storewise.tech en vagueentertainment.com, die via deze methode werden overgenomen. In beide gevallen werden eerder goedaardige snaps bijgewerkt om malware te bevatten die wallets stal, zonder duidelijke wijzigingen in de identiteit of reputatie van de uitgever.

Analyse van de kwaadaardige snaps toont een terugkerend patroon. De applicaties tonen een webgebaseerde interface die sterk lijkt op legitieme wallet-software. Bij het opstarten proberen ze contact op te nemen met een externe endpoint om de netwerkconnectiviteit te verifiëren voordat ze verdergaan.

Als een gebruiker een herstelzin indient, wordt deze onmiddellijk naar de servers van de aanvallers verzonden. Tegen de tijd dat de misleiding duidelijk wordt, zijn de inhoud van de portemonnee meestal al verdwenen.

Natuurlijk heeft Canonical gerapporteerde kwaadaardige snaps verwijderd, maar Pope merkt op dat handhaving vaak achterblijft bij ontdekking, waardoor kwaadaardige updates lang genoeg beschikbaar blijven om gebruikers te beïnvloeden.

Ondertussen wordt Snap-uitgevers geadviseerd hun domeinregistraties up-to-date te houden en tweefactorauthenticatie in te schakelen. Tegelijkertijd worden gebruikers aangemoedigd om helemaal geen cryptocurrency-portemonnee-applicaties uit app stores te installeren en deze in plaats daarvan rechtstreeks van de officiële projectwebsites te verkrijgen.