Snapストアアラート：Linuxユーザーが知っておくべきドメインハイジャック攻撃の理解
最近、ドメインハイジャック攻撃が増加しており、多くのユーザーや企業が被害に遭っています。
この攻撃は、攻撃者がターゲットのドメイン名を不正に奪取し、ユーザーを偽のウェブサイトに誘導することで情報を盗み出す手法です。
攻撃の手口には、ドメイン登録情報の不正変更や、セキュリティの甘い登録業者の利用などがあります。
### どうやって防ぐか
- ドメイン登録情報を定期的に確認する
- 二段階認証を有効にする
- 信頼できる登録業者を選ぶ
- 重要なドメインにはDNSSECを導入する
このような対策を講じることで、ドメインハイジャックのリスクを大幅に減らすことができます。
常に最新のセキュリティ情報に注意し、適切な対策を行いましょう。

Linuxユーザーは、セキュリティ研究者がコミュニティに注意喚起している、Snapストア内の巧妙な脅威に直面しています。SlowMistのCISO 23pdsによると、新たな攻撃ベクトルが出現しており、ハッカーは期限切れの開発者ドメインを悪用して信頼されたアプリケーションを侵害しています。この方法は、長年ユーザーが信頼してきた確立された発行者の信用を利用することで、従来のセキュリティチェックを回避できるため、特に危険です。

攻撃者はどのようにSnapストアの開発者アカウントを侵害しているのか

攻撃は、期限切れのドメインを持つ開発者アカウントを監視する脅威者から始まります。無効になったドメインを特定すると、攻撃者は迅速にそれを登録し、新たに管理下に置いたドメインのメールアドレスを使ってSnapストア内でパスワードリセットを誘発します。このシンプルですが効果的な手法により、長期にわたりユーザーから信頼を得てきた発行者のアイデンティティを乗っ取ることが可能です。その結果、ユーザーが何年もインストールし信頼してきた正規のアプリケーションに、公式のアップデートチャンネルを通じて悪意のあるコードが一晩で注入され、多くのユーザーは全く気付かないまま被害に遭います。

この方法で既に2件の事例が確認されています：storewise[.]techとvagueentertainment[.]comです。これは、攻撃が理論上のものではなく、実際に野生状態で起きていることを証明しています。

資格情報窃盗の仕組み：ウォレットリカバリーフレーズはどのように盗まれるのか

信頼された発行者のアイデンティティを掌握すると、攻撃者は高度なソーシャルエンジニアリングペイロードを展開します。侵害されたアプリケーションは、正当な暗号通貨ウォレットに偽装されており、一般的にはExodus、Ledger Live、Trust Walletを模倣しています。これらの偽バージョンは本物とほとんど見分けがつかず、一般ユーザーによる検出は非常に困難です。

ユーザーが悪意のあるアプリを起動すると、最初にリモートサーバーに接続してネットワーク検証を行い、正常な動作のように見せかけます。その後、「ウォレットリカバリーシードフレーズ」を入力させるよう促します。この重要な情報を送信すると、即座に攻撃者のサーバーに送信され、犯罪者は暗号資産に完全にアクセスできるようになります。

この攻撃の特に効果的な点は、既存の信頼関係を悪用していることです。ユーザーは以前にアプリをダウンロードしインストールしているため、それが正当なものであると自然に期待しています。被害者が資金が盗まれたことに気付く頃には、攻撃者はすでに資産を移動させていることが多いです。

なぜこれらの新たな脅威に警戒すべきなのか

この攻撃パターンは、ソフトウェア配信チャネルがドメインのライフサイクル管理を行う際の根本的な脆弱性を示しています。Snapストアのメールベースの本人確認に依存している点は、開発者が関連ドメインを更新しない場合に重大な弱点となります。セキュリティ研究者は、ユーザーがこの脅威ベクトルを理解する必要があると強調しており、認識が最初の防御線となります。

この巧妙さは、技術的なハッキングにあるのではなく、信頼インフラそのものを悪用している点にあります。セキュリティに敏感なユーザーでさえも、攻撃が公式チャネルを通じて行われ、信頼された発行者のアイデンティティが維持されているため、被害に遭う可能性があります。

23pdsは、最も不安を掻き立てる点として、正当なソフトウェアが武器化される速度と規模を挙げています。昨日まで信頼されていたアプリケーションが、たった一つのアップデートで資格情報窃盗ツールへと変貌を遂げるのです。