Crypto-Diebstahl-Backdoor in der Snap Store-Plattform für Linux-Nutzer entdeckt
- Cyberkriminelle nutzen abgelaufene Entwicklerdomänen aus, um vertrauenswürdige Snap Store-Konten zu übernehmen und Krypto-Diebstahl-Malware zu verbreiten.
- Fälschungen von Wallet-Apps, die Exodus, Ledger Live und Trust Wallet imitieren, fordern Nutzer auf, Seed-Phrases einzugeben, was zum vollständigen Verlust der Gelder führt.
- Mindestens zwei Snap Store-Publisher-Konten wurden als kompromittiert bestätigt.
Linux-Nutzer stehen vor einer neuen Bedrohung, da Kriminelle eine kritische Sicherheitslücke im Snap Store von Canonical ausnutzen, um vertrauenswürdige Entwicklerkonten zu übernehmen und Krypto-Diebstahl-Malware zu verbreiten, die als legitime Wallet-Anwendungen getarnt ist.
Der Chief Information Security Officer von SlowMist, 23pds, der unter dem X-Handle @im23pds bekannt ist, warnte, dass Angreifer Entwicklerkonten überwachen, deren zugehörige Domainnamen abgelaufen sind.
Wie funktioniert der Snap Store-Angriff?
23pds schrieb, „Linux-Nutzer aufgepasst: Eine neue Art von Angriff wütet im Snap Store – abgelaufene Domains wurden von Hackern übernommen und zu Backdoors gemacht, um die Krypto-Assets der Nutzer zu stehlen.
Die manipulierten Anwendungen sind als bekannte Krypto-Wallets wie Exodus, Ledger Live oder Trust Wallet getarnt, um Nutzer dazu zu bringen, ihre ‚Wallet-Wiederherstellungs-Satzphrase‘ einzugeben, was zum vollständigen Diebstahl der Mittel führt.“
Sobald eine Ziel-Domain abläuft und für die Registrierung verfügbar wird, kaufen die Angreifer sie sofort und nutzen die mit dieser Domain verknüpfte E-Mail-Adresse, um Passwort-Reset-Vorgänge im Snap Store auszulösen. Dies gewährt ihnen die vollständige Kontrolle über lang etablierte, vertrauenswürdige Publisher-Identitäten, ohne sofortigen Verdacht zu erregen.
Mindestens zwei Entwicklerkonten wurden mit dieser Methode als kompromittiert bestätigt, wobei die Domains storewise.tech und vagueentertainment.com in die Hände der Angreifer gelangten.
Die böswilligen Akteure, die nach Angaben von Alan Pope, einem ehemaligen Canonical-Entwickler und Ubuntu-Mitwirkenden, ihren Sitz in Kroatien haben, führen seit etwa zwei Jahren Kampagnen gegen Snap Store-Nutzer durch.
Die Domain-Übernahme ist die neueste und besorgniserregendste Entwicklung der Aktionen dieser bösen Akteure, da dies nun bedeutet, dass „legitime Software, die von Nutzern seit Jahren installiert und vertraut wird, über Nacht durch offizielle Update-Kanäle von Hackern mit schädlichem Code infiziert werden könnte.“
Laut 23pds sind „die manipulierten Anwendungen normalerweise als bekannte Krypto-Wallets wie Exodus, Ledger Live oder Trust Wallet getarnt, mit Interfaces, die von den echten Versionen kaum zu unterscheiden sind.“
Er erklärte: „Nach dem Start der App verbindet sie sich zunächst mit einem Remote-Server, um das Netzwerk zu überprüfen, und fordert den Nutzer dann sofort auf, seine ‚Wallet-Wiederherstellungs-Mnemonic-Phrase‘ einzugeben. Sobald der Nutzer sie übermittelt, werden diese sensiblen Details sofort an den Server des Angreifers gesendet, was zum Diebstahl der Mittel führt.“
Opfer bemerken oft erst, dass ihre Mittel gestohlen wurden, bevor sie bemerken, dass etwas nicht stimmt, da der Angriff auf langjährige Vertrauensbeziehungen abzielt.
Was tun große Plattformen, um Domain-Resurrection-Angriffe einzudämmen?
GitHub, PyPI und npm haben alle ähnliche Domain-Resurrection-Angriffeerlebt. Eine akademische Studie aus dem Jahr 2022 identifizierte über 2.800 npm-Entwicklerkonten, die mit E-Mail-Adressen konfiguriert waren, deren Domains später abgelaufen waren, was die Größe der potenziellen Verwundbarkeit aufzeigt.
Im Juni 2025 entfernte das Python-Sicherheitsteam mehr als 1.800 abgelaufene E-Mail-Adressen aus Entwicklerkonten und zwang Entwickler, ihre Anmeldeinformationen bei der nächsten Anmeldung mit aktiven Domains erneut zu verifizieren.
Das Problem resultiert aus dem, was Sicherheitsexperten als Internet- oder Link-Rot bezeichnen, wobei Entwickler, die zwischen Jobs oder E-Mail-Anbietern wechseln, die Kontoinformationen auf allen Plattformen nicht aktualisieren, was ausnutzbare Sicherheitslücken schafft.
Pope erklärte, dass Canonical das Problem angehen muss, indem es Schutzmaßnahmen implementiert, wie die Überwachung des Domain-Ablaufs auf Publisher-Konten, die Anforderung zusätzlicher Verifizierungen für inaktive Konten, die Implementierung einer obligatorischen Zwei-Faktor-Authentifizierung oder andere Maßnahmen.
Wenn Sie dies lesen, sind Sie bereits einen Schritt voraus. Bleiben Sie mit unserem Newsletter auf dem Laufenden.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan.com Wir übernehmen keine Haftung für Investitionen, die auf den auf dieser Seite bereitgestellten Informationen basieren. Wir empfehlen dringend, vor jeglichen Anlageentscheidungen eine unabhängige Recherche durchzuführen und/oder einen qualifizierten Fachmann zu konsultieren.
Hannah Collymore
Hannah ist Autorin und Redakteurin mit fast einem Jahrzehnt Erfahrung im Bloggen und in der Berichterstattung über Events im Krypto-Bereich. Bei Cryptopolitan arbeitet sie an der News-Seite und berichtet sowie analysiert die neuesten Entwicklungen in den Bereichen DeFi, RWA, Krypto-Regulierung, KI und Zukunftstechnologien. Sie hat ihr Studium an der Arcadia University mit einem Abschluss in Betriebswirtschaft abgeschlossen.
