Lažni Changelly zero-day exploit koji kruži među potencijalnim napadačima zapravo je mamac. Prema istraživanju ThreatMona, kod je alat za otimanje kriptovalutnih transakcija, a najvjerojatnije će stradati upravo oni koji ga pokrenu. Ova shema lažnog Changelly zero-day otimanja novčanika pokazuje kako napadači mogu ciljati znatiželjne, oportunističke i nepažljive istim komadom JavaScripta.
Kako je lažni Changelly exploit namamio žrtve
Kampanja je bila predstavljena kao funkcionalan exploit za ranjivost u Changellyju, usluzi za razmjenu kriptovaluta. Tvrdnje o zero-day ranjivosti učinkovit su mamac. Zero-day je ranjivost za koju proizvođač još ne zna, pa obećanje gotovog exploita privlači ljude koji se nadaju profitu ili ga jednostavno žele testirati.
To je zamka. Prema ThreatMonu, lažne tvrdnje o ranjivosti korištene su kako bi se korisnike namamilo na rad s kodom. Umjesto da napada Changelly, skripta djeluje protiv onoga tko je pokrene. Potencijalni napadač postaje meta.
Pristup nije nov po duhu. Sigurnosni istraživači dugo susreću proof-of-concept kod s zamkama i lažne alate namijenjene ljudima koji traže prečace. Ono što ovaj slučaj čini zapaženim jest specifični payload: skripta izgrađena da izravno u pregledniku ometa kripto transakcije.
Što zlonamjerna skripta radi s adresama novčanika
Zlonamjerni JavaScript osmišljen je da radi dvije stvari, prema ThreatMonovim nalazima:
- Zamjenjuje adrese novčanika. Kada korisnik unese ili kopira odredišnu adresu za transakciju, skripta može ubaciti adresu koju kontrolira napadač. Sredstva poslana u dobroj vjeri završe u pogrešnom novčaniku.
- Manipulira prikazanim tečajevima razmjene. Skripta može izmijeniti brojeve prikazane na zaslonu, pa se tečajevi ili iznosi koje korisnik vidi ne podudaraju sa stvarnošću. To pomaže prikriti krađu i čini transakciju normalnom.
Kripto transakcije uglavnom su nepovratne. Nakon što se novčići pošalju na napadačevu adresu, obično nema banke kojoj se možete obratiti ni povrata sredstava. Zbog toga je svaki alat koji tiho mijenja odredišnu adresu posebno štetan.
Zašto je otimanje na razini preglednika teško uočiti
Ova vrsta napada ne mora provaliti u burzu, razbiti lozinku ni ukrasti privatni ključ. Djeluje na mjestu gdje pregledavate i potvrđujete informacije: u vašem pregledniku. Ako je sama stranica izmijenjena ubrizganim JavaScriptom, ono što vidite možda nije ono što se stvarno događa.
Nekoliko razloga zašto je to teško uhvatiti:
- Dugačke adrese teško je čitati. Adrese novčanika nizovi su nasumičnih znakova. Malo ljudi provjerava svaki znak, a napadači se često na to oslanjaju.
- Sučelje i dalje izgleda legitimno. Ako se prikazani tečajevi manipuliraju, zaslon može izgledati dosljedno i pouzdano sve do trenutka slanja.
- Nema očitog upozorenja. Za razliku od neuspješne prijave ili sigurnosnog alarma, zamijenjena adresa ne proizvodi nikakvu poruku o pogrešci.
Pouka je da sam prikaz u pregledniku nije pouzdan izvor istine kada je u pitanju pravi novac.
Što to znači za vas
Većina čitatelja nikada neće tražiti exploit kod, ali temeljni rizik široko se primjenjuje. Svaka skripta koja se izvršava u vašoj sesiji preglednika, bilo iz sumnjivog preuzimanja, zalijepljenog isječka u konzolu, sumnjivog proširenja ili kompromitirane stranice, mogla bi izmijeniti ono što vidite tijekom kripto transakcije.
Ako se bavite kriptom, neformalni "exploit" ili "bonus" kod tretirajte kao neprijateljski po defaultu. Kod koji obećava lak pristup tuđim sredstvima trebao bi izazvati sumnju, a ne znatiželju. A ako ste sigurnosni istraživač ili hobist, analizirajte nepoznati kod samo u izoliranom okruženju, nikada na stroju ili profilu preglednika povezanom s vašim pravim novčanicima.
Higijena mreže također je važna. Nepouzdane mreže dodaju još jedan način na koji napadači mogu mijenjati ono što radite online, kao što pokazuje Microsoftovo upozorenje o ruskim hakerima na Wi-Fi mrežama hotela. To se izvješće odnosilo na krađu vjerodajnica i zlonamjerni softver, ne na kripto, ali oprez vrijedi: izbjegavajte obavljanje kripto poslova na mrežama kojima ne vjerujete.
Provjere koje štite vaše kripto transakcije
Nekoliko navika snažno smanjuje izglede za gubitak sredstava zbog skripti koje zamjenjuju adrese:
- Provjerite adresu na zaslonu hardverskog novčanika. Zaslon uređaja odvojen je od vašeg preglednika, pa ga ubrizgani JavaScript ne može promijeniti. Usporedite adresu tamo s namjeravanim primateljem.
- Nikada ne pokrećite neformalni exploit kod. Ako se navodni Changelly zero-day ili bilo koji drugi exploit pojavi na forumu ili u chatu, ne izvršavajte ga i nikada ne lijepite nepoznati kod u konzolu preglednika.
- Budite oprezni s burzovnim skočnim prozorima. Burzama pristupajte tako da sami upišete adresu ili upotrijebite oznaku, i ignorirajte neočekivane upite.
- Koristite blokator skripti. Ograničavanje toga koji se JavaScript može izvršavati smanjuje prostor za djelovanje ubrizganog koda.
- Prvo pošaljite malu testnu transakciju. Za velike transfere potvrdite da su sredstva stigla na pravo mjesto prije slanja punog iznosa.
- Držite kripto aktivnosti na čistom profilu preglednika. Manje proširenja i manje nepovezanih kartica znači manje prilika da se nešto umiješa.
Ključne poante
Kampanja lažnog Changelly zero-day otimanja novčanika podsjetnik je da najuvjerljiviji mamac često cilja ljude koji misle da su oni napadač. Praktična obrana je jednostavna: ne pokrećite kod kojemu ne možete vjerovati, blokirajte nepotrebne skripte i potvrdite svaku adresu novčanika na zaslonu hardverskog novčanika prije nego odobrite transakciju. Tretirajte svoj preglednik kao nepouzdan za završnu provjeru i ostanite oprezni na javnim ili nepoznatim mrežama kada premještate kripto.
