En formodet Changelly zero-day-exploit, der cirkulerer blandt potentielle angribere, viser sig at være madding. Ifølge en undersøgelse foretaget af ThreatMon er koden et værktøj til at kapre kryptotransaktioner, og dem, der mest sandsynligt kommer til skade, er dem, der kører den. Denne falske Changelly zero-day-wallet-kapring viser, hvordan angribere kan ramme de nysgerrige, de opportunistiske og de skødesløse med det samme stykke JavaScript.
Hvordan den falske Changelly-exploit lokkede ofre
Kampagnen var klædt ud som en fungerende exploit til en sårbarhed i Changelly, en kryptovalutabørs. Påstande om en zero-day-fejl er en effektiv krog. En zero-day er en sårbarhed, som leverandøren endnu ikke kender til, så løftet om en færdig exploit tiltrækker folk, der håber at tjene på den eller blot teste den.
Det er fælden. Ifølge ThreatMon blev de falske sårbarhedspåstande brugt til at lokke brugere til at interagere med koden. I stedet for at angribe Changelly arbejder scriptet mod den, der udfører det. Den potentielle angriber bliver målet.
Fremgangsmåden er ikke ny i ånden. Sikkerhedsforskere har længe set fældebelagte proof-of-concept-koder og falske værktøjer rettet mod folk, der leder efter genveje. Det, der gør denne sag bemærkelsesværdig, er den specifikke payload: et script bygget til at forstyrre kryptotransaktioner direkte i browseren.
Hvad det ondsindede script gør ved wallet-adresser
Det ondsindede JavaScript blev designet til at gøre to ting, baseret på ThreatMons fund:
- Erstatte wallet-adresser. Når en bruger indtaster eller kopierer en modtageradresse til en transaktion, kan scriptet indsætte en adresse, som angriberen kontrollerer. Midler sendt i god tro ender i den forkerte wallet.
- Manipulere viste vekslingsværdier. Scriptet kan ændre de tal, der vises på skærmen, så de kurser eller beløb, en bruger ser, ikke stemmer overens med virkeligheden. Det hjælper med at skjule tyveriet og får transaktionen til at se normal ud.
Kryptotransaktioner er generelt irreversible. Når først coins er sendt til en angribers adresse, er der typisk ingen bank at ringe til og ingen chargeback at anmode om. Det gør ethvert værktøj, der lydløst ændrer en modtageradresse, særligt skadeligt.
Hvorfor kapring på browserniveau er svært at opdage
Denne type angreb behøver ikke at trænge ind i en børs, knække en adgangskode eller stjæle en privat nøgle. Det virker på det punkt, hvor du ser og bekræfter information: din browser. Hvis selve siden bliver ændret af injiceret JavaScript, er det, du ser, måske ikke det, der faktisk sker.
Et par grunde til, at dette er svært at fange:
- Lange adresser er svære at læse. Wallet-adresser er strenge af tilfældige tegn. Få mennesker tjekker hvert tegn, og angribere regner ofte med det.
- Grænsefladen ser stadig legitim ud. Hvis de viste vekslingsværdier manipuleres, kan skærmen se konsistent og troværdig ud helt frem til det øjeblik, der sendes.
- Der er ingen tydelig advarsel. I modsætning til et mislykket login eller en sikkerhedsalert giver en ombyttet adresse ingen fejlmeddelelse.
Lektionen er, at browserens visning alene ikke er en pålidelig sandhedskilde, når der er rigtige penge involveret.
Hvad dette betyder for dig
De fleste læsere kommer aldrig til at lede efter exploit-kode, men den underliggende risiko gælder bredt. Ethvert script, der kører i din browsersession, uanset om det kommer fra en tvivlsom download, et indsat konsoluddrag, en shady extension eller en kompromitteret side, kan ændre det, du ser under en kryptotransaktion.
Hvis du håndterer krypto, skal du som udgangspunkt behandle uofficiel "exploit"- eller "bonus"-kode som fjendtlig. Kode, der lover nem adgang til en andens midler, bør vække mistanke, ikke nysgerrighed. Og hvis du er sikkerhedsforsker eller hobbyist, bør du kun analysere ukendt kode i et isoleret miljø, aldrig på en maskine eller browserprofil, der er knyttet til dine rigtige wallets.
Netværkshygiejne betyder også noget. Utroværdige netværk tilføjer endnu en måde, hvorpå angribere kan manipulere det, du gør online, som vist i Microsofts advarsel om russiske hackere på hotel-Wi-Fi-netværk. Den rapport handlede om tyveri af legitimationer og malware, ikke krypto, men forsigtigheden gælder: undgå at håndtere krypto på netværk, du ikke stoler på.
Tjek, der beskytter dine kryptotransaktioner
Et par vaner reducerer markant oddsene for at miste midler til adresseombytningsscripts:
- Bekræft adressen på en hardware wallet-skærm. Enhedens skærm er adskilt fra din browser, så injiceret JavaScript kan ikke ændre den. Sammenlign adressen der med din tilsigtede modtager.
- Kør aldrig uofficiel exploit-kode. Hvis en formodet Changelly zero-day eller en hvilken som helst anden exploit dukker op i et forum eller en chat, må du ikke udføre den, og aldrig indsætte ukendt kode i din browserkonsol.
- Vær på vagt over for børs-pop-ups. Gå til børser ved selv at skrive adressen eller bruge et bogmærke, og ignorer uventede prompter.
- Brug en script-blokering. At begrænse, hvilket JavaScript der kan køre, reducerer pladsen for injiceret kode til at operere.
- Send først en lille testtransaktion. Ved store overførsler skal du bekræfte, at midlerne ankommer det rigtige sted, før du sender hele beløbet.
- Hold kryptoaktivitet på en ren browserprofil. Færre extensions og færre urelaterede faner betyder færre chancer for, at noget forstyrrer.
Vigtigste pointer
Den falske Changelly zero-day-wallet-kapringskampagne er en påmindelse om, at den mest overbevisende madding ofte retter sig mod folk, der tror, de er angriberen. Det praktiske forsvar er enkelt: kør ikke kode, du ikke kan stole på, blokér unødvendige scripts, og bekræft hver wallet-adresse på en hardware wallet-skærm, før du godkender en transaktion. Behandl din browser som utroværdig til det sidste tjek, og vær forsigtig på offentlige eller ukendte netværk, når du flytter krypto.
