استغلال Changelly zero-day المزعوم الذي يتداول بين المهاجمين المحتملين يتبين أنه طُعم. وفقًا لتحقيق أجرته ThreatMon، فإن الكود هو أداة اختطاف معاملات العملات المشفرة، والأشخاص الأكثر عرضة للضرر هم أولئك الذين يشغلونه. تُظهر خطة اختطاف المحفظة المزيفة هذه التي تُدّعي وجود ثغرة Changelly zero-day كيف يمكن للمهاجمين استهداف الفضوليين والانتهازيين والمهملين بنفس قطعة JavaScript.
كيف استدرج استغلال Changelly المزيف الضحايا
تم تزيين الحملة كاستغلال فعّال لثغرة في Changelly، وهي خدمة لتبادل العملات المشفرة. الادعاءات بوجود ثغرة zero-day هي طُعم فعّال. الثغرة zero-day هي ثغرة لا يعرف عنها البائع بعد، لذا فإن الوعد باستغلال جاهز يجذب الأشخاص الذين يأملون في الاستفادة منه أو مجرد اختباره.
هذا هو الفخ. وفقًا لـ ThreatMon، تم استخدام ادعاءات الثغرة المزيفة لاستدراج المستخدمين للتفاعل مع الكود. بدلاً من مهاجمة Changelly، يعمل السكريبت ضد من ينفذه. المهاجم المحتمل يصبح هو الهدف.
النهج ليس جديدًا في جوهره. لطالما رأى باحثو الأمن أكواد إثبات المفهوم المليئة بالفخاخ والأدوات المزيفة الموجهة للأشخاص الذين يبحثون عن طرق مختصرة. ما يجعل هذه الحالة جديرة بالملاحظة هو الحمولة المحددة: سكريبت مبني للتدخل في معاملات العملات المشفرة مباشرة في المتصفح.
ماذا يفعل السكريبت الخبيث بعناوين المحافظ
تم تصميم JavaScript الخبيث للقيام بأمرين، بناءً على نتائج ThreatMon:
- استبدال عناوين المحافظ. عندما يدخل المستخدم أو ينسخ عنوان وجهة لمعاملة ما، يمكن للسكريبت استبداله بعنوان يتحكم به المهاجم. الأموال المرسلة بحسن نية تنتهي في المحفظة الخاطئة.
- التلاعب بقيم الصرف المعروضة. يمكن للسكريبت تغيير الأرقام المعروضة على الشاشة، بحيث لا تتطابق الأسعار أو المبالغ التي يراها المستخدم مع الواقع. هذا يساعد في إخفاء السرقة ويجعل المعاملة تبدو طبيعية.
معاملات العملات المشفرة عادةً لا رجعة فيها. بمجرد إرسال العملات إلى عنوان المهاجم، لا يوجد عادةً بنك للاتصال به ولا استرداد للطلب. هذا يجعل أي أداة تغير عنوان الوجهة بصمت مدمرة بشكل خاص.
لماذا يصعب اكتشاف الاختطاف على مستوى المتصفح
هذا النوع من الهجمات لا يحتاج إلى اختراق منصة تبادل أو كسر كلمة مرور أو سرقة مفتاح خاص. إنه يعمل عند النقطة التي تعرض فيها المعلومات وتؤكدها: متصفحك. إذا كانت الصفحة نفسها يتم تعديلها بواسطة JavaScript محقون، فإن ما تراه قد لا يكون ما يحدث فعلاً.
بضعة أسباب تجعل هذا صعب الاكتشاف:
- العناوين الطويلة يصعب قراءتها. عناوين المحافظ هي سلاسل من الأحرف العشوائية. قليل من الناس يفحصون كل حرف، وغالبًا ما يعتمد المهاجمون على ذلك.
- الواجهة لا تزال تبدو شرعية. إذا تم التلاعب بقيم الصرف المعروضة، يمكن أن تبدو الشاشة متسقة وموثوقة حتى لحظة الإرسال.
- لا يوجد تحذير واضح. على عكس فشل تسجيل الدخول أو تنبيه أمني، فإن العنوان المستبدل لا ينتج عنه رسالة خطأ.
الدرس هو أن عرض المتصفح وحده ليس مصدرًا موثوقًا للحقيقة عندما تكون الأموال الحقيقية معنية.
ماذا يعني هذا بالنسبة لك
معظم القراء لن يذهبوا أبدًا للبحث عن كود استغلال، لكن المخاطر الأساسية تنطبق على نطاق واسع. أي سكريبت يعمل في جلسة متصفحك، سواء من تنزيل مشبوه أو مقتطف لصق في وحدة التحكم أو إضافة مشبوهة أو صفحة مخترقة، يمكن أن يغير ما تراه أثناء معاملة عملات مشفرة.
إذا كنت تتعامل مع العملات المشفرة، فتعامل مع كود "الاستغلال" أو "المكافأة" غير الرسمي كعدائي بشكل افتراضي. الكود الذي يعد بالوصول السهل إلى أموال شخص آخر يجب أن يثير الشك، وليس الفضول. وإذا كنت باحثًا أمنيًا أو هاويًا، فحلل الكود غير المعروف فقط في بيئة معزولة، وليس أبدًا على جهاز أو ملف تعريف متصفح مرتبط بمحافظك الحقيقية.
نظافة الشبكة مهمة أيضًا. الشبكات غير الموثوقة تضيف طريقة أخرى للمهاجمين للتلاعب بما تفعله عبر الإنترنت، كما هو موضح في تحذير مايكروسوفت بشأن القراصنة الروس على شبكات Wi-Fi الفندقية. كان ذلك التقرير يتعلق بسرقة بيانات الاعتماد والبرمجيات الخبيثة، وليس العملات المشفرة، لكن الحذر ينطبق: تجنب التعامل مع العملات المشفرة على شبكات لا تثق بها.
فحوصات تحمي معاملات العملات المشفرة الخاصة بك
بعض العادات تقلل بشكل حاد من احتمالية فقدان الأموال بسبب سكريبتات استبدال العناوين:
- تحقق من العنوان على شاشة محفظة الأجهزة. شاشة الجهاز منفصلة عن متصفحك، لذا لا يمكن لـ JavaScript المحقون تغييرها. قارن العنوان هناك مع المستلم المقصود.
- لا تشغل أبدًا كود استغلال غير رسمي. إذا ظهر استغلال Changelly zero-day المزعوم أو أي استغلال آخر في منتدى أو دردشة، فلا تنفذه، ولا تلصق أبدًا كودًا غير معروف في وحدة تحكم المتصفح.
- احذر من النوافذ المنبثقة لمنصات التبادل. وصل إلى منصات التبادل بكتابة العنوان بنفسك أو باستخدام إشارة مرجعية، وتجاهل المطالبات غير المتوقعة.
- استخدم مانع سكريبتات. تحديد JavaScript الذي يمكن تشغيله يقلل من مساحة عمل الكود المحقون.
- أرسل معاملة اختبارية صغيرة أولاً. للتحويلات الكبيرة، تأكد من وصول الأموال إلى المكان الصحيح قبل إرسال المبلغ الكامل.
- احتفظ بنشاط العملات المشفرة على ملف تعريف متصفح نظيف. عدد أقل من الإضافات وعلامات التبويب غير ذات الصلة يعني فرصًا أقل لتدخل أي شيء.
النقاط الرئيسية
حملة اختطاف المحفظة المزيفة التي تُدّعي وجود ثغرة Changelly zero-day هي تذكير بأن الطُعم الأكثر إقناعًا غالبًا ما يستهدف الأشخاص الذين يعتقدون أنهم المهاجم. الدفاع العملي بسيط: لا تشغل كودًا لا يمكنك الوثوق به، واحظر السكريبتات غير الضرورية، وتأكد من كل عنوان محفظة على شاشة محفظة الأجهزة قبل الموافقة على معاملة. تعامل مع متصفحك كغير موثوق للفحص النهائي، وابق حذرًا على الشبكات العامة أو غير المألوفة عند نقل العملات المشفرة.
