Údajný zero-day exploit Changelly, který koluje mezi potenciálními útočníky, se ukázal být návnadou. Podle vyšetřování společnosti ThreatMon je tento kód nástrojem pro únos kryptoměnových transakcí a lidé, kteří jsou nejpravděpodobněji poškozeni, jsou ti, kdo ho spustí. Tato falešná schéma únosu peněženek prostřednictvím zero-day zranitelnosti Changelly ukazuje, jak mohou útočníci cílit na zvědavé, oportunistické a neopatrné lidi pomocí stejného kusu JavaScriptu.
Jak falešný exploit Changelly nalákal oběti
Kampaň byla vydávána za funkční exploit zranitelnosti v Changelly, službě pro výměnu kryptoměn. Tvrzení o zero-day zranitelnosti jsou účinným háčkem. Zero-day je zranitelnost, o které dodavatel ještě neví, takže příslib hotového exploitu přitahuje lidi, kteří doufají, že z něj budou profitovat, nebo si ho prostě chtějí vyzkoušet.
To je past. Podle ThreatMon byla falešná tvrzení o zranitelnosti použita k nalákání uživatelů k interakci s kódem. Skript neútočí na Changelly, ale funguje proti tomu, kdo ho spustí. Potenciální útočník se stává cílem.
Přístup není nový svým duchem. Bezpečnostní výzkumníci už dlouho vidí nakladené proof-of-concept kódy a falešné nástroje zaměřené na lidi, kteří hledají zkratky. Co dělá tento případ pozoruhodným, je konkrétní payload: skript vytvořený tak, aby přímo v prohlížeči zasahoval do kryptoměnových transakcí.
Co škodlivý skript dělá s adresami peněženek
Škodlivý JavaScript byl navržen tak, aby dělal dvě věci, na základě zjištění ThreatMon:
- Nahrazovat adresy peněženek. Když uživatel zadá nebo zkopíruje cílovou adresu pro transakci, skript může vložit adresu kontrolovanou útočníkem. Prostředky odeslané v dobré víře skončí ve špatné peněžence.
- Manipulovat zobrazované směnné hodnoty. Skript může měnit čísla zobrazená na obrazovce, takže kurzy nebo částky, které uživatel vidí, neodpovídají realitě. To pomáhá skrýt krádež a činí transakci zdánlivě normální.
Kryptoměnové transakce jsou obecně nevratné. Jakmile jsou mince odeslány na adresu útočníka, obvykle neexistuje banka, které byste mohli zavolat, ani chargeback, o který byste mohli požádat. To činí jakýkoli nástroj, který tiše mění cílovou adresu, obzvláště škodlivým.
Proč je obtížné odhalit únos na úrovni prohlížeče
Tento typ útoku nepotřebuje proniknout do burzy, prolomit heslo nebo ukrást soukromý klíč. Funguje v místě, kde prohlížíte a potvrzujete informace: ve vašem prohlížeči. Pokud je samotná stránka měněna injektovaným JavaScriptem, to, co vidíte, nemusí být to, co se skutečně děje.
Několik důvodů, proč je obtížné to zachytit:
- Dlouhé adresy se těžko čtou. Adresy peněženek jsou řetězce náhodných znaků. Málokdo kontroluje každý znak a útočníci na to často spoléhají.
- Rozhraní stále vypadá legitimně. Pokud jsou zobrazované směnné hodnoty manipulovány, obrazovka může vypadat konzistentně a důvěryhodně až do okamžiku odeslání.
- Neexistuje žádné zjevné varování. Na rozdíl od neúspěšného přihlášení nebo bezpečnostního upozornění neprodukuje vyměněná adresa žádnou chybovou zprávu.
Poučením je, že samotné zobrazení v prohlížeči není spolehlivým zdrojem pravdy, když jde o skutečné peníze.
Co to znamená pro vás
Většina čtenářů nikdy nebude pátrat po exploitovém kódu, ale základní riziko platí široce. Jakýkoli skript běžící ve vaší relaci prohlížeče, ať už z podezřelého staženého souboru, vloženého úryvku do konzole, pochybného rozšíření nebo kompromitované stránky, může změnit to, co vidíte během kryptoměnové transakce.
Pokud se zabýváte kryptoměnami, považujte neoficiální „exploitní" nebo „bonusový" kód ve výchozím nastavení za nepřátelský. Kód, který slibuje snadný přístup k prostředkům někoho jiného, by měl vzbuzovat podezření, ne zvědavost. A pokud jste bezpečnostní výzkumník nebo hobbyista, analyzujte neznámý kód pouze v izolovaném prostředí, nikdy na stroji nebo v profilu prohlížeče spojeném s vašimi skutečnými peněženkami.
Na hygiena sítě také záleží. Nedůvěryhodné sítě přidávají další způsob, jak mohou útočníci manipulovat s tím, co děláte online, jak ukazuje varování Microsoftu před ruskými hackery na hotelových Wi-Fi sítích. Tato zpráva se týkala krádeže přihlašovacích údajů a malwaru, nikoli kryptoměn, ale opatrnost platí: vyhněte se manipulaci s kryptoměnami na sítích, kterým nedůvěřujete.
Kontroly, které chrání vaše kryptoměnové transakce
Několik návyků výrazně snižuje pravděpodobnost ztráty prostředků kvůli skriptům pro výměnu adres:
- Ověřte adresu na obrazovce hardwarové peněženky. Zobrazení zařízení je oddělené od vašeho prohlížeče, takže injektovaný JavaScript ho nemůže změnit. Porovnejte adresu tam s zamýšleným příjemcem.
- Nikdy nespouštějte neoficiální exploitní kód. Pokud se na fóru nebo v chatu objeví údajný zero-day Changelly nebo jakýkoli jiný exploit, nespouštějte ho a nikdy nevkládejte neznámý kód do konzole prohlížeče.
- Buďte ostražití vůči vyskakovacím oknům burz. Na burzy se dostávejte zadáním adresy sami nebo pomocí záložky a ignorujte neočekávané výzvy.
- Používejte blokátor skriptů. Omezení toho, který JavaScript může běžet, snižuje prostor pro operace injektovaného kódu.
- Nejprve odešlete malou testovací transakci. U velkých převodů potvrďte, že prostředky dorazily na správné místo, než odešlete plnou částku.
- Udržujte kryptoměnovou aktivitu v čistém profilu prohlížeče. Méně rozšíření a méně nesouvisejících karet znamená méně příležitostí pro něco, co by mohlo zasahovat.
Klíčové poznatky
Kampaň falešného únosu peněženek prostřednictvím zero-day zranitelnosti Changelly je připomínkou, že nejpřesvědčivější návnady často cílí na lidi, kteří si myslí, že jsou útočníkem. Praktická obrana je jednoduchá: nespouštějte kód, kterému nemůžete důvěřovat, blokujte nepotřebné skripty a před schválením transakce potvrďte každou adresu peněženky na obrazovce hardwarové peněženky. Považujte svůj prohlížeč za nedůvěryhodný pro konečnou kontrolu a buďte opatrní na veřejných nebo neznámých sítích při přesunu kryptoměn.
