Väitetty Changellyn zero-day-haavoittuvuus, joka kiertää hyökkäystä suunnittelevien keskuudessa, osoittautuu syötiksi. ThreatMonin tutkimuksen mukaan koodi on kryptovaluuttatapahtumien kaappaustyökalu, ja todennäköisimmin haittaa kärsivät ne, jotka ajavat sen. Tämä väärä Changellyn zero-day-lompakkokaappaus osoittaa, miten hyökkääjät voivat kohdistaa saman JavaScript-pätkän uteliaisiin, opportunisteihin ja huolimattomiin.
Miten väärä Changelly-haavoittuvuus houkutteli uhreja
Kampanja oli puettu toimivaksi haavoittuvuudeksi Changellyssä, joka on kryptovaluuttapörssipalvelu. Väitteet zero-day-haavoittuvuudesta ovat tehokas syötti. Zero-day on haavoittuvuus, josta toimittaja ei vielä tiedä, joten lupaus valmiista haavoittuvuudesta houkuttelee ihmisiä, jotka toivovat hyötyvänsä siitä tai haluavat yksinkertaisesti testata sitä.
Se on ansa. ThreatMonin mukaan väärillä haavoittuvuusväitteillä houkuteltiin käyttäjiä käsittelemään koodia. Sen sijaan, että se hyökkäisi Changellyä vastaan, skripti toimii sitä vastaan, joka sen suorittaa. Hyökkääjäksi aikova joutuu itse kohteeksi.
Lähestymistapa ei ole hengeltään uusi. Tietoturvatutkijat ovat kauan nähneet ansoitettua proof-of-concept-koodia ja väärennettyjä työkaluja, jotka on suunnattu oikoteitä etsiville. Tämän tapauksen tekee merkittäväksi sen erityinen hyötykuorma: skripti, joka on rakennettu häiritsemään kryptotapahtumia suoraan selaimessa.
Mitä haitallinen skripti tekee lompakko-osoitteille
Haitallinen JavaScript suunniteltiin tekemään kaksi asiaa ThreatMonin havaintojen perusteella:
- Korvaa lompakko-osoitteet. Kun käyttäjä syöttää tai kopioi tapahtuman kohdeosoitteen, skripti voi vaihtaa tilalle hyökkääjän hallitseman osoitteen. Hyvässä uskossa lähetetyt varat päätyvät väärään lompakkoon.
- Manipuloi näytettyjä vaihtoarvoja. Skripti voi muuttaa näytöllä näkyviä lukuja, joten käyttäjän näkemät kurssit tai määrät eivät vastaa todellisuutta. Tämä auttaa peittämään varkauden ja saa tapahtuman näyttämään normaalilta.
Kryptotapahtumat ovat yleensä peruuttamattomia. Kun kolikot on lähetetty hyökkääjän osoitteeseen, ei yleensä ole pankkia, johon soittaa, eikä takaisinveloitusta, jota pyytää. Tämä tekee jokaisesta työkalusta, joka hiljaa muuttaa kohdeosoitetta, erityisen vahingollisen.
Miksi selaintason kaappaus on vaikea havaita
Tällainen hyökkäys ei tarvitse murtautua pörssiin, murtää salasanaa tai varastaa yksityistä avainta. Se toimii siinä pisteessä, jossa tarkastelet ja vahvistat tietoja: selaimessasi. Jos sivua itsessään muutetaan syötetyllä JavaScriptillä, se mitä näet, ei välttämättä ole se, mitä todella tapahtuu.
Muutama syy, miksi tämä on vaikea havaita:
- Pitkät osoitteet ovat vaikeita lukea. Lompakko-osoitteet ovat satunnaisten merkkien jonoja. Harva tarkistaa jokaisen merkin, ja hyökkääjät luottavat usein siihen.
- Käyttöliittymä näyttää edelleen lailliselta. Jos näytettyjä vaihtoarvoja manipuloidaan, näyttö voi näyttää johdonmukaiselta ja luotettavalta aina lähettämishetkeen asti.
- Ilmeistä varoitusta ei ole. Toisin kuin epäonnistunut kirjautuminen tai tietoturvahälytys, vaihdettu osoite ei tuota virheilmoitusta.
Opetus on, että pelkkä selaimen näyttö ei ole luotettava totuuden lähde, kun kyse on oikeasta rahasta.
Mitä tämä tarkoittaa sinulle
Useimmat lukijat eivät koskaan lähde etsimään haavoittuvuuskoodia, mutta taustalla oleva riski koskee laajalti. Mikä tahansa selainistunnossasi ajettava skripti, oli se peräisin epäilyttävästä latauksesta, liitetystä konsolipätkästä, kyseenalaisesta laajennuksesta tai vaarantuneesta sivusta, voi muuttaa sitä, mitä näet kryptotapahtuman aikana.
Jos käsittelet kryptovaluuttoja, pidä epävirallista "haavoittuvuus"- tai "bonus"-koodia oletusarvoisesti vihamielisenä. Koodin, joka lupaa helpon pääsyn jonkun toisen varoihin, pitäisi herättää epäilystä, ei uteliaisuutta. Ja jos olet tietoturvatutkija tai harrastelija, analysoi tuntematonta koodia vain eristetyssä ympäristössä, ei koskaan koneella tai selainprofiililla, joka on sidottu todellisiin lompakkoihisi.
Myös verkkohygienia on tärkeää. Epäluotettavat verkot tarjoavat hyökkääjille lisäkeinon peukaloida verkkotoimintaasi, kuten Microsoftin varoitus venäläishakkereista hotellien Wi-Fi-verkoissa osoittaa. Raportti koski tunnusten varastamista ja haittaohjelmia, ei kryptoja, mutta varovaisuus pätee: vältä kryptojen käsittelyä verkoissa, joihin et luota.
Tarkistukset, jotka suojaavat kryptotapahtumiasi
Muutama tapa vähentää jyrkästi todennäköisyyttä menettää varoja osoitteita vaihtaville skripteille:
- Vahvista osoite laitteistolompakon näytöltä. Laitteen näyttö on erillään selaimestasi, joten syötetty JavaScript ei voi muuttaa sitä. Vertaa siellä näkyvää osoitetta aiottuun vastaanottajaan.
- Älä koskaan aja epävirallista haavoittuvuuskoodia. Jos väitetty Changellyn zero-day tai muu haavoittuvuus ilmestyy foorumille tai chattiin, älä suorita sitä, äläkä koskaan liitä tuntematonta koodia selaimen konsoliin.
- Varo pörssien ponnahdusikkunoita. Saavu pörsseihin kirjoittamalla osoite itse tai käyttämällä kirjanmerkkiä, ja jätä odottamattomat kehotteet huomiotta.
- Käytä skriptien estäjää. Sen rajoittaminen, mitä JavaScriptiä voi ajaa, vähentää syötetyn koodin toimintamahdollisuuksia.
- Lähetä ensin pieni testitapahtuma. Suurissa siirroissa varmista, että varat saapuvat oikeaan paikkaan ennen koko summan lähettämistä.
- Pidä kryptotoiminta puhtaassa selainprofiilissa. Vähemmän laajennuksia ja vähemmän asiaankuulumattomia välilehtiä tarkoittaa vähemmän mahdollisuuksia häirinnälle.
Keskeiset opit
Väärä Changellyn zero-day-lompakkokaappauskampanja muistuttaa, että vakuuttavin syötti kohdistuu usein ihmisiin, jotka luulevat olevansa hyökkääjiä. Käytännön puolustus on yksinkertainen: älä aja koodia, johon et voi luottaa, estä tarpeettomat skriptit ja vahvista jokainen lompakko-osoite laitteistolompakon näytöltä ennen tapahtuman hyväksymistä. Kohtele selaintasi epäluotettavana lopullista tarkistusta varten ja pysy varovaisena julkisissa tai tuntemattomissa verkoissa kryptoja siirtäessäsi.
