Người dùng Linux Snap cảnh báo khi tin tặc phát tán phần mềm độc hại qua các ứng dụng cũ đã được tin cậy

Một chiến dịch lừa đảo mới trên Snap Store lợi dụng các tên miền nhà xuất bản hết hạn để vượt qua các tín hiệu đáng tin cậy và phát tán các bản cập nhật ứng dụng độc hại.

Snap Store, một kho ứng dụng tập trung để phân phối các gói snap do Canonical vận hành, cho phép các nhà phát triển công bố ứng dụng với rào cản gia nhập tương đối thấp, trong khi người dùng có thể cài đặt và cập nhật phần mềm tự động thông qua một kênh đáng tin cậy duy nhất. Tuy nhiên, sự tin cậy đó hiện đang gặp căng thẳng.

Trong một bài đăng trên blog, Alan Pope, một nhân vật lâu năm trong cộng đồng Ubuntu và là cựu nhân viên của Canonical, người vẫn là nhà phát hành Snap năng nổ, quản lý gần 50 gói snap với hàng nghìn người dùng, cảnh báo về một xu hướng đáng lo ngại ảnh hưởng đến các gói Snap. Đây là những gì mà nó đề cập.

Trong hơn một năm qua, Pope và các chuyên gia bảo mật khác đã ghi lại một chiến dịch liên tục các ứng dụng snap độc hại giả mạo các ứng dụng ví tiền điện tử. Những ứng dụng giả mạo này thường bắt chước các dự án nổi tiếng như Exodus, Ledger Live hoặc Trust Wallet, khiến người dùng nhập cụm phục hồi ví, sau đó các cụm này được truyền đến kẻ tấn công, dẫn đến việc mất hết tiền trong ví.

Các phiên bản trước của chiến dịch dựa vào các tài khoản nhà xuất bản mới tạo và các trang cửa hàng trông thuyết phục về mặt hình ảnh. Tuy nhiên, theo Pope, sự thay đổi gần đây nhất đại diện cho một sự leo thang đáng kể.

Thay vì tạo tài khoản mới, những kẻ tấn công hiện đang theo dõi Snap Store để tìm các nhà phát hành có tên miền liên kết đã hết hạn. Khi một tên miền hết hạn, những kẻ tấn công sẽ tự đăng ký nó, kích hoạt đặt lại mật khẩu trên tài khoản Snap Store liên kết với tên miền đó và chiếm quyền kiểm soát danh tính nhà phát hành đã được thiết lập. Từ đó, họ có thể đẩy các bản cập nhật độc hại đến các ứng dụng snap mà người dùng có thể đã tin tưởng và cài đặt từ nhiều năm trước.

Giáo hoàng đã xác định ít nhất hai miền nhà xuất bản, cụ thể hơn là storewise.tech và vagueentertainment.com, đã bị chiếm quyền bằng phương pháp này. Trong cả hai trường hợp, các snap trước đây vốn vô hại đã được cập nhật để bao gồm phần mềm độc hại đánh cắp ví mà không có thay đổi rõ ràng nào đối với danh tính hoặc danh tiếng của nhà xuất bản.

Phân tích các tệp snaps độc hại cho thấy một mô hình lặp đi lặp lại. Các ứng dụng này hiển thị một giao diện dựa trên web có hình thức rất giống phần mềm ví hợp pháp. Khi khởi chạy, chúng cố gắng liên lạc với một điểm cuối từ xa để xác minh kết nối mạng trước khi tiếp tục.

Nếu một người dùng gửi cụm từ khôi phục, nó sẽ ngay lập tức được truyền tới máy chủ của kẻ tấn công. Khi sự lừa đảo trở nên rõ ràng, nội dung ví thường đã bị mất.

Tất nhiên, Canonical đã gỡ bỏ các snap được báo cáo là độc hại, nhưng Pope lưu ý rằng việc thực thi thường chậm hơn so với việc phát hiện, cho phép các bản cập nhật độc hại vẫn còn sẵn sàng đủ lâu để ảnh hưởng đến người dùng.

Trong thời gian này, các nhà xuất bản của Snap được khuyên nên giữ cho việc đăng ký tên miền của họ luôn cập nhật và kích hoạt xác thực hai yếu tố. Đồng thời, người dùng được khuyến nghị tránh cài đặt các ứng dụng ví tiền điện tử từ cửa hàng ứng dụng và thay vào đó hãy tải trực tiếp từ các trang web chính thức của dự án.