Обнаручена бэкдор-угроза для кражи криптовалюты в платформе Snap Store для пользователей Linux

Пользователи Linux сталкиваются с новой угрозой, поскольку киберпреступники эксплуатируют критическую уязвимость в Snap Store компании Canonical, захватывая доверенные аккаунты разработчиков для распространения вредоносного ПО, крадущего криптовалюту, замаскированного под легитимные приложения кошельков.

Главный специалист по информационной безопасности SlowMist, 23pds, известный в X под ником @im23pds, предупредил, что злоумышленники отслеживают аккаунты разработчиков, доменные имена которых истекли.

Как работает атака на Snap Store?

23pds написал, «Пользователи Linux будьте осторожны: в Snap Store бушует новый тип атак — взломщики захватили истекшие домены и превратили их в бэкдоры для кражи криптоактивов пользователей.»

Скомпрометированные приложения маскируются под известные криптокошельки, такие как Exodus, Ledger Live или Trust Wallet, обманывая пользователей и заставляя их вводить «фразу восстановления кошелька», что приводит к полной краже средств.»

Как только целевой домен истекает и становится доступным для регистрации, злоумышленники немедленно выкупают его, а затем используют адрес электронной почты, связанный с этим доменом, для запуска сброса паролей в Snap Store. Это дает им полный контроль над давно зарекомендовавшими себя доверенными аккаунтами издателей, не вызывая немедленных подозрений.

По меньшей мере два аккаунта разработчиков были подтверждены как скомпрометированные этим методом, при этом домены storewise.tech и vagueentertainment.com попали в руки злоумышленников.

По словам Алана Поупа, бывшего разработчика Canonical и участника проекта Ubuntu, злоумышленники, предположительно базирующиеся в Хорватии, проводят кампании против пользователей Snap Store примерно в течение двух лет.

Захват домена является новейшим и наиболее тревожным этапом деятельности этих злоумышленников, поскольку теперь это означает, что «легитимное программное обеспечение, установленное и доверяемое пользователями в течение многих лет, могло быть заражено вредоносным кодом, внедренным хакерами через официальные каналы обновлений за одну ночь».

По словам 23pds, «Скомпрометированные приложения обычно маскируются под известные криптокошельки, такие как Exodus, Ledger Live или Trust Wallet, с интерфейсами, практически неотличимыми от подлинных версий».

Он заявил: «После запуска приложения оно сначала подключается к удаленному серверу для проверки сети, а затем немедленно предлагает пользователю ввести «мнемоническую фразу восстановления кошелька». Как только пользователь вводит ее, эти конфиденциальные данные мгновенно передаются на сервер злоумышленника, что приводит к краже средств».

Жертвы часто обнаруживают, что их средства были украдены, прежде чем замечают что-то неладное, поскольку атака эксплуатирует давно сложившиеся доверительные отношения.

Что делают крупные платформы для предотвращения атак на оживленные домены?

GitHub, PyPI и npm все подверглись подобным атакам на оживленные домены. В академическом исследовании 2022 года было выявлено более 2800 аккаунтов разработчиков npm, настроенных с адресами электронной почты, домены которых впоследствии истекли, что подчеркивает масштаб потенциальной уязвимости.

В июне 2025 года команда безопасности Python удалила более 1800 истекших адресов электронной почты из аккаунтов разработчиков, заставив разработчиков повторно подтвердить свои учетные данные с действующими доменами при следующем входе в систему. 

Проблема проистекает из того, что эксперты по безопасности называют «интернет-гнилью» или «гнилью ссылок», когда разработчики, меняя работу или провайдеров электронной почты, забывают обновлять информацию об аккаунтах на всех платформах, создавая уязвимости для безопасности.

Пуп заявил, что Canonical должна решить эту проблему, внедрив меры защиты, такие как мониторинг истечения срока действия доменов на аккаунтах издателей, требование дополнительной проверки для неактивных аккаунтов, внедрение обязательной двухфакторной аутентификации или другие меры.