Ένα υποτιθέμενο zero-day exploit του Changelly που κυκλοφορεί ανάμεσα σε επίδοξους επιτιθέμενους αποδεικνύεται ότι είναι δόλωμα. Σύμφωνα με έρευνα της ThreatMon, ο κώδικας είναι ένα εργαλείο hijacking συναλλαγών κρυπτονομισμάτων και οι άνθρωποι που είναι πιο πιθανό να πληγωθούν είναι αυτοί που τον εκτελούν. Αυτό το ψεύτικο σχήμα hijacking wallet μέσω zero-day του Changelly δείχνει πώς οι επιτιθέμενοι μπορούν να στοχεύσουν τους περίεργους, τους καιροσκόπους και τους απερίσκεπτους με το ίδιο κομμάτι JavaScript.
Πώς το ψεύτικο exploit του Changelly δελέασε τα θύματα
Η καμπάνια ήταν μεταμφιεσμένη ως ένα λειτουργικό exploit για μια ευπάθεια στο Changelly, μια υπηρεσία ανταλλαγής κρυπτονομισμάτων. Οι ισχυρισμοί για ένα zero-day flaw είναι ένα αποτελεσματικό δόλωμα. Ένα zero-day είναι μια ευπάθεια που ο πάροχος δεν γνωρίζει ακόμη, οπότε η υπόσχεση ενός έτοιμου exploit προσελκύει ανθρώπους που ελπίζουν να επωφεληθούν από αυτό ή απλώς να το δοκιμάσουν.
Αυτή είναι η παγίδα. Σύμφωνα με την ThreatMon, οι ψεύτικοι ισχυρισμοί για την ευπάθεια χρησιμοποιήθηκαν για να δελεάσουν τους χρήστες να αλληλεπιδράσουν με τον κώδικα. Αντί να επιτεθεί στο Changelly, το script λειτουργεί εναντίον όποιου το εκτελεί. Ο επίδοξος επιτιθέμενος γίνεται ο στόχος.
Η προσέγγιση δεν είναι νέα στη σύλληψή της. Οι ερευνητές ασφαλείας βλέπουν εδώ και καιρό παγιδευμένο proof-of-concept κώδικα και ψεύτικα εργαλεία που στοχεύουν ανθρώπους που ψάχνουν για συντομεύσεις. Αυτό που κάνει αυτή την περίπτωση αξιοσημείωτη είναι το συγκεκριμένο payload: ένα script φτιαγμένο για να παρεμβαίνει σε συναλλαγές crypto απευθείας στο browser.
Τι κάνει το κακόβουλο script στις διευθύνσεις wallet
Το κακόβουλο JavaScript σχεδιάστηκε για να κάνει δύο πράγματα, με βάση τα ευρήματα της ThreatMon:
- Αντικατάσταση διευθύνσεων wallet. Όταν ένας χρήστης εισάγει ή αντιγράφει μια διεύθυνση προορισμού για μια συναλλαγή, το script μπορεί να αντικαταστήσει μια διεύθυνση που ελέγχεται από τον επιτιθέμενο. Τα κεφάλαια που στέλνονται καλή τη πίστει καταλήγουν σε λάθος wallet.
- Χειραγώγηση των εμφανιζόμενων τιμών ανταλλαγής. Το script μπορεί να αλλοιώσει τους αριθμούς που εμφανίζονται στην οθόνη, ώστε οι ισοτιμίες ή τα ποσά που βλέπει ένας χρήστης να μην ανταποκρίνονται στην πραγματικότητα. Αυτό βοηθά να κρυφτεί η κλοπή και κάνει τη συναλλαγή να φαίνεται φυσιολογική.
Οι συναλλαγές crypto είναι γενικά μη αναστρέψιμες. Μόλις τα νομίσματα σταλούν σε μια διεύθυνση του επιτιθέμενου, συνήθως δεν υπάρχει τράπεζα να καλέσεις και καμία chargeback να ζητήσεις. Αυτό κάνει οποιοδήποτε εργαλείο αλλάζει σιωπηλά μια διεύθυνση προορισμού ιδιαίτερα επιζήμιο.
Γιατί το hijacking σε επίπεδο browser είναι δύσκολο να εντοπιστεί
Αυτού του είδους η επίθεση δεν χρειάζεται να παραβιάσει ένα exchange, να σπάσει έναν κωδικό πρόσβασης ή να κλέψει ένα private key. Λειτουργεί στο σημείο όπου βλέπεις και επιβεβαιώνεις πληροφορίες: το browser σου. Αν η ίδια η σελίδα αλλοιώνεται από injected JavaScript, αυτό που βλέπεις μπορεί να μην είναι αυτό που πραγματικά συμβαίνει.
Μερικοί λόγοι για τους οποίους αυτό είναι δύσκολο να εντοπιστεί:
- Οι μεγάλες διευθύνσεις είναι δύσκολο να διαβαστούν. Οι διευθύνσεις wallet είναι ακολουθίες τυχαίων χαρακτήρων. Λίγοι άνθρωποι ελέγχουν κάθε χαρακτήρα και οι επιτιθέμενοι συχνά βασίζονται σε αυτό.
- Η διεπαφή εξακολουθεί να φαίνεται νόμιμη. Αν οι εμφανιζόμενες τιμές ανταλλαγής χειραγωγούνται, η οθόνη μπορεί να φαίνεται συνεπής και αξιόπιστη μέχρι τη στιγμή της αποστολής.
- Δεν υπάρχει προφανής προειδοποίηση. Σε αντίθεση με μια αποτυχημένη σύνδεση ή ένα alert ασφαλείας, μια αντικατεστημένη διεύθυνση δεν παράγει κανένα μήνυμα σφάλματος.
Το δίδαγμα είναι ότι η οθόνη του browser από μόνη της δεν είναι αξιόπιστη πηγή αλήθειας όταν διακυβεύονται πραγματικά χρήματα.
Τι σημαίνει αυτό για εσάς
Οι περισσότεροι αναγνώστες δεν θα ψάξουν ποτέ για κώδικα exploit, αλλά ο υποκείμενος κίνδυνος ισχύει ευρέως. Οποιοδήποτε script εκτελείται στη συνεδρία του browser σας, είτε από μια ύποπτη λήψη, είτε από ένα επικολλημένο απόσπασμα κονσόλας, είτε από μια σκιώδη επέκταση, είτε από μια παραβιασμένη σελίδα, θα μπορούσε να αλλοιώσει αυτό που βλέπετε κατά τη διάρκεια μιας συναλλαγής crypto.
Αν διαχειρίζεστε crypto, αντιμετωπίστε τον ανεπίσημο κώδικα «exploit» ή «bonus» ως εχθρικό εξ ορισμού. Ο κώδικας που υπόσχεται εύκολη πρόσβαση στα κεφάλαια κάποιου άλλου θα πρέπει να προκαλεί υποψία, όχι περιέργεια. Και αν είστε ερευνητής ασφαλείας ή χομπίστας, αναλύετε άγνωστο κώδικα μόνο σε απομονωμένο περιβάλλον, ποτέ σε μηχάνημα ή προφίλ browser που συνδέεται με τα πραγματικά σας wallets.
Η υγιεινή του δικτύου έχει επίσης σημασία. Τα μη αξιόπιστα δίκτυα προσθέτουν έναν ακόμη τρόπο για τους επιτιθέμενους να παραβιάσουν αυτό που κάνετε online, όπως φαίνεται στην προειδοποίηση της Microsoft για Ρώσους hackers σε δίκτυα Wi-Fi ξενοδοχείων. Αυτή η αναφορά αφορούσε κλοπή διαπιστευτηρίων και malware, όχι crypto, αλλά η προσοχή ισχύει: αποφύγετε τη διαχείριση crypto σε δίκτυα που δεν εμπιστεύεστε.
Έλεγχοι που προστατεύουν τις συναλλαγές crypto σας
Μερικές συνήθειες μειώνουν απότομα τις πιθανότητες απώλειας κεφαλαίων από scripts αντικατάστασης διευθύνσεων:
- Επαληθεύστε τη διεύθυνση στην οθόνη ενός hardware wallet. Η οθόνη της συσκευής είναι ξεχωριστή από τον browser σας, οπότε η injected JavaScript δεν μπορεί να την αλλάξει. Συγκρίνετε τη διεύθυνση εκεί με τον προοριζόμενο παραλήπτη σας.
- Μην εκτελείτε ποτέ ανεπίσημο κώδικα exploit. Αν ένα υποτιθέμενο zero-day του Changelly ή οποιοδήποτε άλλο exploit εμφανιστεί σε ένα forum ή chat, μην το εκτελέσετε και μην επικολλήσετε ποτέ άγνωστο κώδικα στην κονσόλα του browser σας.
- Να είστε επιφυλακτικοί με τα pop-ups των exchange. Προσεγγίστε τα exchange πληκτρολογώντας μόνοι σας τη διεύθυνση ή χρησιμοποιώντας ένα bookmark και αγνοήστε απρόσμενες προτροπές.
- Χρησιμοποιήστε έναν blocker script. Ο περιορισμός του ποια JavaScript μπορεί να εκτελεστεί μειώνει τον χώρο για να δράσει injected κώδικας.
- Στείλτε πρώτα μια μικρή δοκιμαστική συναλλαγή. Για μεγάλες μεταφορές, επιβεβαιώστε ότι τα κεφάλαια φτάνουν στο σωστό μέρος πριν στείλετε το πλήρες ποσό.
- Κρατήστε τη δραστηριότητα crypto σε ένα καθαρό προφίλ browser. Λιγότερες επεκτάσεις και λιγότερες άσχετες καρτέλες σημαίνουν λιγότερες πιθανότητες να παρέμβει κάτι.
Βασικά συμπεράσματα
Η καμπάνια ψεύτικου hijacking wallet μέσω zero-day του Changelly είναι μια υπενθύμιση ότι το πιο πειστικό δόλωμα συχνά στοχεύει ανθρώπους που νομίζουν ότι είναι οι επιτιθέμενοι. Η πρακτική άμυνα είναι απλή: μην εκτελείτε κώδικα που δεν μπορείτε να εμπιστευτείτε, μπλοκάρετε περιττά scripts και επιβεβαιώνετε κάθε διεύθυνση wallet στην οθόνη ενός hardware wallet πριν εγκρίνετε μια συναλλαγή. Αντιμετωπίστε τον browser σας ως μη αξιόπιστο για τον τελικό έλεγχο και παραμείνετε προσεκτικοί σε δημόσια ή άγνωστα δίκτυα όταν μετακινείτε crypto.
