בימים האחרונים נחשף מקרה מדאיג הקשור ל... חנות הצמדהמאגר הרשמי של יישומי Snap המשמש בהפצות GNU/Linux רבות. הבעיה אינה קשורה לפגמים טכניים במערכת האריזה עצמה, אלא לניצול לרעה של מודל האמון עליו מבוסס המאגר.
מה שקרה זה צדדים שלישיים זדוניים הצליחו לפרסם גרסאות המכילות קוד זדוני הם התמקדו באפליקציות שהיו בעבר לגיטימיות. לשם כך, הם לא יצרו חשבונות חדשים או חבילות חשודות מאפס, אלא השתלטו על חשבונות מפתחים לגיטימיים שהיו לא פעילים במשך זמן מה. זה גרם לאפליקציות שנפגעו להיראות אמינות, מכיוון שהייתה להן היסטוריה, הורדות קודמות והן לא הפעילו התראות מיידיות.
זו לא הפעם הראשונה שחנות סנאפ נפרצה.
המפתח למתקפה טמון בדומיינים המשויכים לחשבונות המפתחים הללו. במקרים רבים, הפרויקטים המקוריים לא תוחזקו עוד, ודומייני האינטרנט המקושרים אליהם פג תוקפם. התוקפים רשמו מחדש את הדומיינים הללו, ובאמצעות שליטה בכתובות הדוא"ל המשויכות, הצליחו לקבל בחזרה גישה לחשבונות הפרסום בחנות Snap. לאחר שנכנסו פנימה, כל מה שהיה עליהם לעשות היה להעלות עדכון תוכנה שונה.
הקוד הזדוני שזוהה התמקד בעיקר ביישומים הקשורים למטבעות קריפטוגרפיים.גרסאות אלו חיקו את התנהגותם של ארנקים לגיטימיים ודרשו מהמשתמש מידע רגיש כמו משפט השחזור. מידע זה נשלח לשרתים בשליטת התוקפים, מה שאפשר להם לגנוב כספים מבלי לנצל פגיעויות במערכת ההפעלה.
סוג זה של התקפה מסוכן במיוחד משום שהוא אינו תלוי בהונאת המשתמש באמצעות שמות בדויים או אפליקציות חשודות בבירור. זה מסתמך על הביטחון שנצבר מפרויקטים קודמים ובהיעדר מנגנונים מחמירים לאימות שבעל חשבון מפתח נשאר מי שהוא טוען להיות לאורך זמן.
האפליקציות המושפעות כבר הוסרו
לאחר שזוהתה הבעיה, האפליקציות שנפגעו הוסרואף על פי כן, התקרית הציתה מחדש את הוויכוח על אבטחת חנויות תוכנה מרכזיות ועל מידת דיוקן במערכות סקירה אוטומטיות. היא גם מדגישה את החשיבות של הגנה על חשבונות מפתחים, במיוחד אלו הקשורים לפרויקטים נטושים או שכבר אינם מתוחזקים באופן פעיל.
עבור משתמשים, הלקח העיקרי הוא שאף חנות אפליקציות אינה חסינה מטעויות. אפילו בסביבות כמו לינוקס, הנתפסות באופן מסורתי כבטוחות יותר, ניצול לרעה עלול להתרחש כאשר מודל ההפצה מסתמך על אמון ואוטומציה. נקיטת זהירות קיצונית עם יישומים רגישים, במיוחד כאלה הקשורים למטבעות קריפטוגרפיים או אישורים, נותרה אמצעי מכריע.