Linuxユーザー向けSnap Storeプラットフォームで、暗号資産を盗むバックドアが検出される

Linuxユーザーは新たな脅威に直面しています。サイバー犯罪者がCanonicalのSnap Storeの重大な脆弱性を悪用し、信頼できる開発者アカウントを乗っ取って、正規のウォレットアプリケーションに偽装された暗号資産盗難マルウェアを配布しています。

SlowMistの最高情報セキュリティ責任者（CISO）である23pds氏（Xハンドル: @im23pds）は、攻撃者が関連するドメイン名が期限切れとなった開発者アカウントを監視していると警告しています。

Snap Store攻撃はどのように機能するのか？

23pds氏による投稿、「Linuxユーザーの皆様、警戒してください。Snap Storeで新たなタイプの攻撃が横行しています。期限切れのドメインがハッカーに乗っ取られ、ユーザーの暗号資産を盗むためのバックドアとして悪用されています。

改ざんされたアプリケーションは、Exodus、Ledger Live、Trust Walletなどの有名な暗号資産ウォレットに偽装されており、ユーザーを騙して『ウォレット回復シードフレーズ』を入力させ、資金の完全な盗難を引き起こします。」

ターゲットとなるドメインが期限切れになり登録可能になると、攻撃者は直ちにそのドメインを購入し、そのドメインに関連付けられたメールアドレスを使用してSnap Storeのパスワードリセットをトリガーします。これにより、長年確立された信頼できるパブリッシャーのアイデンティティを、即座の疑念を招かずに完全に支配することができます。

少なくとも2つの開発者アカウントがこの方法で侵害されたことが確認されており、storewise.techとvagueentertainment.comというドメインが攻撃者の手に渡りました。

元Canonical開発者でUbuntuコントリビューターであるAlan Pope氏によると、犯罪者はクロアチアに拠点を置いていると見られており、約2年にわたりSnap Storeユーザーを対象としたキャンペーンを実行してきました。

ドメイン乗っ取りは、これらの悪意ある行為者の行動における最新かつ最も懸念される進化です。これにより、「長年ユーザーにインストールされ信頼されていたソフトウェアに、ハッカーが公式の更新チャネルを通じて一夜にしてマルウェアコードを注入できる」ことを意味します。

23pds氏によると、「改ざんされたアプリケーションは通常、Exodus、Ledger Live、Trust Walletなどの有名な暗号資産ウォレットに偽装されており、インターフェースは本物と見分けがつかないほどです。」

同氏は、「アプリが起動すると、まずリモートサーバーに接続してネットワークを検証し、直ちにユーザーに『ウォレット回復ニーモニックフレーズ』の入力を促します。ユーザーがそれを入力すると、これらの機密情報は即座に攻撃者のサーバーに送信され、資金の盗難につながります。」

被害者は、異常に気づく前に資金が盗まれていることに気づくことが多く、これは攻撃が長年にわたる信頼関係を悪用しているためです。

主要プラットフォームはドメイン復活攻撃をどのように抑止しているのか？

GitHub、PyPI、npmはすべて 同様のドメイン復活攻撃を経験しています。2022年の学術研究では、後に期限切れとなったドメインを持つメールアドレスが設定されたnpm開発者アカウントが2,800以上特定され、潜在的な脆弱性の規模が浮き彫りになりました。

2025年6月、Pythonセキュリティチームは開発者アカウントから1,800以上の期限切れメールアドレスを削除し、開発者に次回ログイン時にアクティブなドメインで資格情報を再検証するよう強制しました。 

この問題は、セキュリティ専門家たちがインターネットまたはリンクの腐敗と呼ぶものから生じています。開発者が転職したりメールプロバイダーを変更したりする際、すべてのプラットフォームでアカウント情報を更新しないため、悪用可能なセキュリティの隙間が生まれます。

Pope氏は、Canonicalがパブリッシャーアカウントでのドメイン期限切れの監視、休眠アカウントに対する追加検証の要求、必須の二段階認証の実装、その他の対策を実装することでこの問題に対処する必要があると述べています。