Предполагаем експлойт от нулев ден на Changelly, циркулиращ сред потенциални атакуващи, се оказва примамка. Според разследване на ThreatMon кодът е инструмент за отвличане на криптовалутни транзакции и хората, които най-вероятно ще пострадат, са тези, които го стартират. Тази фалшива схема за отвличане на портфейли чрез експлойт от нулев ден на Changelly показва как атакуващите могат да насочат към любопитните, опортюнистичните и небрежните с един и същ JavaScript код.
Как фалшивият експлойт на Changelly примами жертвите
Кампанията беше представена като работещ експлойт за уязвимост в Changelly, услуга за криптовалутна борса. Твърденията за недостатък от нулев ден са ефективна стръв. Нулев ден е уязвимост, за която доставчикът все още не знае, така че обещанието за готов експлойт привлича хора, които се надяват да спечелят от него или просто да го тестват.
Това е капанът. Според ThreatMon фалшивите твърдения за уязвимост са били използвани, за да подмамят потребителите да взаимодействат с кода. Вместо да атакува Changelly, скриптът работи срещу този, който го изпълни. Потенциалният атакуващ става целта.
Подходът не е нов по дух. Изследователите по сигурност отдавна виждат капани в proof-of-concept код и фалшиви инструменти, насочени към хора, които търсят преки пътища. Това, което прави този случай забележителен, е конкретният полезен товар: скрипт, създаден да се намесва в крипто транзакции директно в браузъра.
Какво прави зловредният скрипт с адресите на портфейлите
Зловредният JavaScript е проектиран да прави две неща въз основа на откритията на ThreatMon:
- Заменя адреси на портфейли. Когато потребител въведе или копира адрес на получател за транзакция, скриптът може да подмени с адрес, контролиран от атакуващия. Средствата, изпратени с добри намерения, се озовават в грешния портфейл.
- Манипулира показваните стойности на обмен. Скриптът може да променя числата, показани на екрана, така че курсовете или сумите, които потребителят вижда, не отговарят на реалността. Това помага да се прикрие кражбата и кара транзакцията да изглежда нормална.
Крипто транзакциите обикновено са необратими. След като монетите бъдат изпратени на адрес на атакуващ, обикновено няма банка, на която да се обадите, и няма възстановяване на плащането, което да поискате. Това прави всеки инструмент, който тихо променя адрес на получател, особено вреден.
Защо отвличането на ниво браузър е трудно за откриване
Този вид атака не се нуждае от проникване в борса, разбиване на парола или кражба на частен ключ. Тя работи в точката, където преглеждате и потвърждавате информация: вашият браузър. Ако самата страница е променена чрез инжектиран JavaScript, това, което виждате, може да не е това, което всъщност се случва.
Няколко причини това да е трудно за забелязване:
- Дългите адреси са трудни за четене. Адресите на портфейли са низове от случайни символи. Малко хора проверяват всеки символ и атакуващите често разчитат на това.
- Интерфейсът все още изглежда легитимен. Ако показваните стойности на обмен са манипулирани, екранът може да изглежда последователен и надежден до самия момент на изпращане.
- Няма очевидно предупреждение. За разлика от неуспешен вход или сигнал за сигурност, подмененият адрес не поражда съобщение за грешка.
Поуката е, че самото показване в браузъра не е надежден източник на истина, когато са замесени истински пари.
Какво означава това за вас
Повечето читатели никога няма да тръгнат да търсят код за експлойти, но основният риск важи в широк смисъл. Всеки скрипт, работещ в сесията на вашия браузър, независимо дали идва от съмнително изтегляне, поставен фрагмент в конзолата, нелегално разширение или компрометирана страница, може да промени това, което виждате по време на крипто транзакция.
Ако работите с крипто, третирайте неофициалния код за „експлойти“ или „бонуси“ като враждебен по подразбиране. Код, който обещава лесен достъп до чужди средства, трябва да предизвиква подозрение, а не любопитство. И ако сте изследовател по сигурност или любител, анализирайте непознат код само в изолирана среда, никога на машина или профил на браузър, свързани с истинските ви портфейли.
Мрежовата хигиена също е важна. Ненадеждните мрежи добавят още един начин атакуващите да подправят това, което правите онлайн, както е показано в предупреждението на Microsoft за руски хакери в Wi-Fi мрежи на хотели. Този доклад касаеше кражба на идентификационни данни и зловреден софтуер, не крипто, но предпазливостта важи: избягвайте работа с крипто в мрежи, на които не се доверявате.
Проверки, които защитават вашите крипто транзакции
Няколко навика рязко намаляват вероятността да загубите средства заради скриптове за подмяна на адреси:
- Проверете адреса на екрана на хардуерния портфейл. Дисплеят на устройството е отделен от браузъра ви, така че инжектираният JavaScript не може да го промени. Сравнете адреса там с предвидения получател.
- Никога не стартирайте неофициален код за експлойти. Ако предполагаем експлойт от нулев ден на Changelly или друг експлойт се появи във форум или чат, не го изпълнявайте и никога не поставяйте непознат код в конзолата на браузъра си.
- Внимавайте с изскачащи прозорци от борси. Достигайте до борсите, като въведете адреса сами или използвате отметка, и игнорирайте неочаквани подкани.
- Използвайте блокер на скриптове. Ограничаването на това кой JavaScript може да работи намалява възможностите за действие на инжектиран код.
- Първо изпратете малка тестова транзакция. За големи преводи потвърдете, че средствата пристигат на правилното място, преди да изпратите цялата сума.
- Дръжте крипто активността в чист профил на браузъра. По-малко разширения и по-малко несвързани раздели означават по-малко шансове нещо да се намеси.
Основни изводи
Фалшивата кампания за отвличане на портфейли чрез експлойт от нулев ден на Changelly е напомняне, че най-убедителната стръв често е насочена към хора, които смятат, че са атакуващите. Практическата защита е проста: не стартирайте код, на който не можете да се доверите, блокирайте ненужните скриптове и потвърждавайте всеки адрес на портфейл на екрана на хардуерен портфейл, преди да одобрите транзакция. Третирайте браузъра си като ненадежден за финалната проверка и бъдете предпазливи в публични или непознати мрежи, когато движите крипто.
