Hackers secuestran dominios de Snap Store para distribuir malware que roba criptomonedas

 

Una nueva y preocupante campaña de ciberataques está afectando a usuarios de Linux, donde delincuentes han encontrado una forma de tomar el control de cuentas legítimas de la Snap Store —el repositorio oficial de paquetes snap para Ubuntu y otras distros— y usar esas cuentas para distribuir malware disfrazado como aplicaciones confiables.

Lo más alarmante es la técnica usada: los atacantes no crean paquetes falsos nuevos, sino que secuestran cuentas existentes de editores confiables aprovechando dominios expirados, lo que les permite distribuir actualizaciones maliciosas que parecen legítimas.

Cómo funciona esta campaña

Según investigaciones de expertos como Alan Pope, colaborador de Ubuntu y exdesarrollador de Canonical, los atacantes están:

1. Identificando dominios web y direcciones de correo electrónico asociados a desarrolladores antiguos de la Snap Store que han expirado.

2. Registrando esos dominios expirados, lo que les permite recuperar el acceso a cuentas de Snap Store vinculadas a ellos.

3. Usando la funcionalidad de restablecimiento de contraseña para tomar control de cuentas cuyos editores originales han abandonado.

4. Subiendo versiones maliciosas de aplicaciones previamente confiables o usando la validez del historial del editor para que las actualizaciones se consideren legítimas.

Esto es especialmente peligroso porque muchos usuarios confían en la reputación de aplicaciones instaladas hace años, sin sospechar que ahora esas mismas apps pueden distribuir malware simplemente por una actualización maliciosa.

 ¿Qué están haciendo con el malware?

Los paquetes maliciosos distribuidos tras el secuestro de cuentas imitan aplicaciones de billeteras de criptomonedas populares como Exodus, Ledger Live o Trust Wallet.

Estas aplicaciones fraudulentas:

• solicitan a los usuarios que ingresen su frase de recuperación (seed phrase) o claves de acceso,

• transmiten esa información a servidores controlados por los atacantes,

• y luego vacían las billeteras de las víctimas sin que estas se den cuenta hasta que es demasiado tarde.

Este tipo de ataque puede causar pérdidas significativas de activos digitales, con reportes de pérdidas por cientos de miles de dólares en incidentes similares observados por analistas de seguridad.

Usuarios de GNU/Linux

Snap Store es una plataforma popular para instalar aplicaciones en Linux porque los snaps son paquetes auto-contenidos que incluyen todas las dependencias necesarias y suelen estar firmados y verificados.

Sin embargo, cuando un editor de aplicaciones pierde el control de su dominio y una cuenta es secuestrada:

• La aplicación comprometida mantiene la apariencia de ser confiable,

• Los usuarios no reciben advertencias claras sobre la actualización maliciosa,

• Y las actualizaciones se instalan automáticamente en sistemas que confían en el historial del paquete.

Esto rompe el modelo de confianza que muchos usuarios han asumido que era seguro, dejando a sus sistemas expuestos.

Consejos para protegerte

Si usás Linux y Snap Store, considerá estas buenas prácticas de seguridad:

• Evitar instalar paquetes de billeteras de criptomonedas desde la Snap Store a menos que confirmes su autenticidad directamente con el proyecto original.

• Verificar dominios, correos y cuentas de editores antes de actualizar aplicaciones, especialmente si manejan activos sensibles como claves de billeteras.

• Configurar copias de seguridad periódicas de tu sistema y datos importantes, incluyendo configuraciones de aplicaciones.

• Mantener un control de qué paquetes están instalados y eliminar los que no uses o no reconozcas.

Además, para casos críticos como billeteras de criptomonedas, es recomendable usar fuentes oficiales de los desarrolladores (por ejemplo, descargar directamente de los sitios web de los proyectos o repositorios verificados) en lugar de repositorios de paquetes de terceros.

 La campaña en la Snap Store demuestra que los atacantes ya no se limitan a crear malware desde cero: ahora explotan confianza histórica, cuentas legítimas y dominios expirados para introducir código malicioso en sistemas que sus usuarios consideran seguros.

Aunque las tiendas de paquetes como Snap ofrecen comodidad y facilidad de uso para los usuarios de Linux, este tipo de incidentes resalta la importancia de revisar la procedencia de las aplicaciones y las cuentas de los editores, especialmente cuando se trata de software relacionado con finanzas y criptomonedas.