Pengguna Linux Snap Diingatkan Saat Penyerang Menyebarkan Malware Melalui Aplikasi Terpercaya Lama

Kampanye penipuan baru di Snap Store memanfaatkan domain penerbit yang kedaluwarsa untuk melewati sinyal kepercayaan dan mengirimkan pembaruan aplikasi berbahaya.

Snap Store, sebuah repositori aplikasi terpusat untuk mendistribusikan paket snap yang dioperasikan oleh Canonical, memungkinkan pengembang untuk menerbitkan aplikasi dengan hambatan masuk yang relatif rendah, sementara pengguna dapat menginstal dan memperbarui perangkat lunak secara otomatis melalui satu saluran terpercaya. Namun, kepercayaan itu kini sedang diuji.

Dalam sebuah posting blog, Alan Pope, tokoh komunitas Ubuntu yang sudah lama berkecimpung dan mantan karyawan Canonical yang tetap menjadi penerbit Snap aktif, mengelola hampir 50 paket Snap dengan ribuan pengguna, memperingatkan tentang tren yang mengkhawatirkan yang memengaruhi paket Snap. Begini penjelasannya.

Selama lebih dari setahun, Pope dan profesional keamanan lainnya telah mendokumentasikan kampanye berkelanjutan dari snap jahat yang meniru aplikasi dompet kripto. Aplikasi palsu ini biasanya meniru proyek terkenal seperti Exodus, Ledger Live, atau Trust Wallet, mendorong pengguna untuk memasukkan frase pemulihan dompet, yang kemudian dikirimkan ke penyerang, sehingga dana terkuras.

Iterasi sebelumnya dari kampanye ini mengandalkan akun penerbit yang baru dibuat dan halaman toko yang terlihat meyakinkan secara visual. Namun, menurut Pope, perubahan terbaru ini merupakan eskalasi yang signifikan.

Alih-alih membuat akun baru, penyerang kini memantau Snap Store untuk penerbit yang nama domainnya telah kedaluwarsa. Setelah domain kedaluwarsa, penyerang mendaftarkannya sendiri, memicu reset kata sandi pada akun Snap Store yang terkait dengan domain tersebut, dan memperoleh kendali atas identitas penerbit yang sudah mapan. Dari sana, mereka bisa mendorong pembaruan berbahaya ke snap yang mungkin telah dipercaya dan diinstal oleh pengguna bertahun-tahun sebelumnya.

Paus telah mengidentifikasi setidaknya dua domain penerbit, lebih spesifik lagi, storewise.tech dan vagueentertainment.com, yang diambil alih menggunakan metode ini. Dalam kedua kasus, snap yang sebelumnya aman diperbarui untuk menyertakan malware pencuri dompet tanpa perubahan yang jelas pada identitas atau reputasi penerbit.

Analisis terhadap snap jahat menunjukkan pola yang berulang. Aplikasi-aplikasi tersebut menampilkan antarmuka berbasis web yang sangat mirip dengan perangkat lunak dompet yang sah. Saat diluncurkan, mereka mencoba menghubungi titik akhir jarak jauh untuk memverifikasi konektivitas jaringan sebelum melanjutkan.

Jika seorang pengguna mengirimkan frase pemulihan, itu segera dikirim ke server para penyerang. Pada saat penipuan terungkap, isi dompet biasanya sudah hilang.

Tentu saja, Canonical telah menghapus snap berbahaya yang dilaporkan, tetapi Pope mencatat bahwa penegakan sering kali tertinggal dari penemuan, memungkinkan pembaruan berbahaya tetap tersedia cukup lama untuk memengaruhi pengguna.

Sementara itu, penerbit Snap disarankan untuk menjaga pendaftaran domain mereka tetap terbaru dan mengaktifkan autentikasi dua faktor. Pada saat yang sama, pengguna dihimbau untuk menghindari menginstal aplikasi dompet cryptocurrency dari toko aplikasi dan sebaiknya mendapatkannya langsung dari situs web resmi proyek.