Cryptominer nascosti nelle app dello Snap Store di Ubuntu

Qualche tempo fa Ubuntu ha iniziato a supportare con orgoglio i cosiddetti pacchetti Snap, un modo di distribuire le applicazioni per i sistemi Linux diverso dal tradizionale sistema dei repository.

Installare uno Snap significa installare un pacchetto che contiene l'applicazione e tutte le dipendenze necessarie, senza che ciò abbia a influire sul sistema nel suo complesso.

Ciò dovrebbe rendere più semplice sia la fase di installazione sia l'aggiornamento all'ultimissima versione di ogni app, dato che non è più necessario occuparsi di seccature come la verifica della compatibilità delle librerie adoperate con il sistema installato. L'articolo continua qui sotto.

Per facilitare agli utenti il reperimento degli Snap è nato uno Snap Store (dal funzionamento del tutto analogo a un App Store), sul quale qualsiasi sviluppatore può caricare la propria app, mettendola a disposizione del grande pubblico.

E qui sta il problema: mentre i repository di Ubuntu e delle altre distribuzioni sono controllati, lo Snap Store non è molto sorvegliato. Così uno sviluppatore è riuscito a caricare alcune app che contenevano, nascosto al loro interno, un software di cryptomining.

Due delle app in questione erano giochi: 2048buntu (clone del gioco 2048, molto popolare qualche anno fa) e Hextris (una variante di Tetris). L'utente che li installava poteva giocare tranquillamente, ma parte delle risorse del suo computer venivano usate - a sua insaputa - per generare la criptovaluta Bytecoin.

Il trucco è riuscito anche perché lo sviluppatore ha adottato una licenza MIT che consente la distribuzione del prodotto finito senza però rendere disponibili anche il codice sorgente: in questo modo nessuno, inizialmente, s'è accorto del problema.

Quando questo comportamento scorretto è stato alla fine individuato, le applicazioni interessate e tutte quelle prodotte dallo sviluppatore sono state eliminate dallo Snap Store, che in teoria è quindi tornato sicuro.

Tutto ciò comunque ci ricorda che anche per gli utenti di Linux vale la raccomandazione di non avere cieca fiducia nei software scaricati da fonti potenzialmente insicure.