리눅스 스냅 사용자, 공격자들이 오래된 신뢰할 수 있는 앱을 통해 악성 소프트웨어를 배포하면서 경고

새로운 스냅 스토어 사기 캠페인은 만료된 퍼블리셔 도메인을 이용해 신뢰 신호를 우회하고 악성 앱 업데이트를 배포합니다.

Snap Store는 Canonical에서 운영하는 스냅 패키지 배포용 중앙 애플리케이션 저장소로, 개발자는 비교적 낮은 진입 장벽으로 애플리케이션을 게시할 수 있으며, 사용자는 단일 신뢰할 수 있는 채널을 통해 소프트웨어를 자동으로 설치하고 업데이트할 수 있습니다. 그러나 현재 그 신뢰는 압박을 받고 있습니다.

블로그 게시물에서 오랜 기간 우분투 커뮤니티에서 활동해왔고 현재도 활발히 스냅 패키지를 배포하며 수천 명의 사용자를 가진 거의 50개의 스냅을 관리하는 전 캐노니컬 직원 알란 포프는 스냅 패키지에 영향을 미치는 우려스러운 추세에 대해 경고했습니다. 그 내용은 다음과 같습니다.

1년 넘게, Pope와 다른 보안 전문가들은 암호화폐 지갑 애플리케이션을 가장한 악성 스냅의 지속적인 캠페인을 기록해왔습니다. 이러한 가짜 앱은 일반적으로 Exodus, Ledger Live, Trust Wallet과 같은 잘 알려진 프로젝트를 모방하며, 사용자로 하여금 지갑 복구 문구를 입력하도록 유도하고, 입력된 복구 문구는 공격자에게 전송되어 자금이 탈취되는 결과를 초래합니다.

이 캠페인의 초기 버전은 새로 생성된 게시자 계정과 시각적으로 설득력 있는 상점 페이지에 의존했습니다. 그러나 포프에 따르면 최근의 변화는 상당한 수준의 확대를 나타냅니다.

새 계정을 만드는 대신, 공격자들은 이제 관련 도메인 이름이 만료된 퍼블리셔를 찾기 위해 스냅 스토어를 모니터링하고 있습니다. 도메인이 만료되면 공격자들은 직접 도메인을 등록하고, 해당 도메인과 연결된 스냅 스토어 계정의 비밀번호 재설정을 트리거하여 기존 퍼블리셔 계정을 장악합니다. 그 후, 공격자들은 사용자가 수년 전에 신뢰하고 설치했을 수 있는 스냅에 악성 업데이트를 배포할 수 있습니다.

교황은 최소 두 개의 퍼블리셔 도메인, 구체적으로 storewise.tech와 vagueentertainment.com이 이 방법을 이용해 장악된 것을 확인했습니다. 두 경우 모두, 이전에는 무해했던 스냅이 발행자의 신원이나 평판에 명백한 변화 없이 지갑을 훔치는 악성 소프트웨어를 포함하도록 업데이트되었습니다.

악성 스냅을 분석한 결과 반복되는 패턴이 나타납니다. 해당 애플리케이션들은 합법적인 지갑 소프트웨어와 매우 유사한 웹 기반 인터페이스를 제공합니다. 실행 시, 진행하기 전에 원격 엔드포인트와 연결하여 네트워크 연결을 확인하려고 시도합니다.

사용자가 복구 문구를 제출하면 즉시 공격자의 서버로 전송됩니다. 사기가 드러날 무렵에는 지갑 내용이 이미 사라진 경우가 대부분입니다.

물론 캐노니컬은 보고된 악성 스냅을 제거했지만, 포프는 단속이 발견보다 뒤처지는 경우가 많아 악성 업데이트가 사용자에게 영향을 미칠 만큼 오랫동안 남아 있을 수 있다고 지적합니다.

그동안 Snap 출판사들은 도메인 등록을 최신 상태로 유지하고 이중 인증을 활성화할 것을 권장받고 있습니다. 동시에 사용자들에게는 앱 스토어에서 암호화폐 지갑 애플리케이션을 설치하지 말고, 공식 프로젝트 웹사이트에서 직접 다운로드할 것을 권장하고 있습니다.