Egy állítólagos Changelly nulla napos sebezhetőség, amely a potenciális támadók körében kering, csalinak bizonyul. A ThreatMon vizsgálata szerint a kód egy kriptovaluta-tranzakció-eltérítő eszköz, és a legvalószínűbb áldozatok azok, akik futtatják. Ez a hamis Changelly nulla napos tárca-eltérítési séma megmutatja, hogyan célozhatják meg a támadók a kíváncsiakat, a lehetőségre vadászókat és a figyelmetleneket ugyanazzal a JavaScript-darabbal.
Hogyan csalta a csapdába a hamis Changelly sebezhetőség az áldozatokat
A kampányt egy működő sebezhetőségként álcázták a Changelly kriptovaluta-tőzsdei szolgáltatásban. A nulla napos hiba állítása hatékony horog. A nulla napos sebezhetőség olyan hiba, amelyről a szállító még nem tud, így a kész sebezhetőség ígérete olyan embereket vonz, akik remélnek profitálni belőle, vagy egyszerűen csak tesztelni akarják.
Ez a csapda. A ThreatMon szerint a hamis sebezhetőségi állításokat arra használták, hogy rávegyék a felhasználókat a kóddal való foglalkozásra. Ahelyett, hogy a Changellyt támadná, a szkript az ellen dolgozik, aki végrehajtja. A potenciális támadó válik célponttá.
A megközelítés szellemében nem új. A biztonsági kutatók régóta találkoznak csapdákkal ellátott proof-of-concept kóddal és hamis eszközökkel, amelyek azokat célozzák, akik rövidítéseket keresnek. Ami ezt az esetet figyelemre méltóvá teszi, az a konkrét payload: egy szkript, amelyet arra építettek, hogy közvetlenül a böngészőben avatkozzon be a kriptotranzakciókba.
Mit tesz a rosszindulatú szkript a tárcacímekkel
A rosszindulatú JavaScriptet két dologra tervezték a ThreatMon megállapításai alapján:
- Tárcacímek cseréje. Amikor a felhasználó beír vagy bemásol egy célcímet egy tranzakcióhoz, a szkript becserélhet egy támadó által irányított címet. A jóhiszeműen elküldött pénzeszközök rossz tárcába kerülnek.
- A megjelenített átváltási értékek manipulálása. A szkript módosíthatja a képernyőn megjelenő számokat, így a felhasználó által látott árfolyamok vagy összegek nem felelnek meg a valóságnak. Ez segít elrejteni a lopást, és normálisnak tünteti fel a tranzakciót.
A kriptotranzakciók általában visszafordíthatatlanok. Amint az érméket egy támadó címére küldik, jellemzően nincs bank, amelyet fel lehet hívni, és nincs visszatérítés, amelyet kérni lehet. Ez minden olyan eszközt különösen károssá tesz, amely csendben megváltoztatja a célcímet.
Miért nehéz észrevenni a böngészőszintű eltérítést
Ez a fajta támadás nem igényel betörést egy tőzsdére, jelszó feltörését vagy privát kulcs ellopását. Azon a ponton működik, ahol megtekinti és megerősíti az információkat: a böngészőjében. Ha magát az oldalt injektált JavaScript módosítja, előfordulhat, hogy amit lát, nem az, ami valójában történik.
Néhány ok, amiért ezt nehéz észrevenni:
- A hosszú címeket nehéz elolvasni. A tárcacímek véletlenszerű karakterláncok. Kevesen ellenőrzik minden karakterüket, és a támadók gyakran erre támaszkodnak.
- A felület továbbra is legitimnek tűnik. Ha a megjelenített átváltási értékeket manipulálják, a képernyő egészen a küldés pillanatáig konzisztensnek és megbízhatónak tűnhet.
- Nincs nyilvánvaló figyelmeztetés. A sikertelen bejelentkezéssel vagy biztonsági riasztással ellentétben a kicserélt cím nem produkál hibaüzenetet.
A tanulság az, hogy pusztán a böngésző megjelenítése nem megbízható igazságforrás, amikor valódi pénzről van szó.
Mit jelent ez Önnek
A legtöbb olvasó soha nem fog sebezhetőségi kódot keresni, de a mögöttes kockázat széles körben érvényes. Bármely szkript, amely a böngésző-munkamenetében fut – legyen az gyanús letöltésből, beillesztett konzolrészletből, kétes bővítményből vagy feltört oldalról –, megváltoztathatja azt, amit egy kriptotranzakció során lát.
Ha kriptovalutával foglalkozik, a nem hivatalos „sebezhetőségi" vagy „bónusz" kódot alapértelmezés szerint ellenségesnek tekintse. A kód, amely könnyű hozzáférést ígér valaki más pénzeszközeihez, gyanút kellene, hogy keltsen, nem kíváncsiságot. És ha Ön biztonsági kutató vagy hobbi, az ismeretlen kódot csak izolált környezetben elemezze, soha ne a valódi tárcáihoz kötött gépen vagy böngészőprofilban.
A hálózati higiénia is számít. A nem megbízható hálózatok újabb módot adnak a támadóknak arra, hogy módosítsák azt, amit online tesz, ahogyan azt a Microsoft orosz hackerekről szóló, szállodai Wi-Fi hálózatokra vonatkozó figyelmeztetése is mutatja. Az a jelentés hitelesítő adatok lopásáról és rosszindulatú programokról szólt, nem kriptovalutáról, de az óvatosság érvényes: kerülje a kriptovaluta kezelését olyan hálózatokon, amelyekben nem bízik.
Ellenőrzések, amelyek védik kriptotranzakcióit
Néhány szokás jelentősen csökkenti annak esélyét, hogy címcserélő szkriptek miatt elveszítse pénzeszközeit:
- Ellenőrizze a címet a hardveres tárca képernyőjén. Az eszköz kijelzője független a böngészőjétől, így az injektált JavaScript nem tudja megváltoztatni. Hasonlítsa össze az ott látható címet a szándékolt címzettel.
- Soha ne futtasson nem hivatalos sebezhetőségi kódot. Ha egy állítólagos Changelly nulla napos sebezhetőség vagy bármely más sebezhetőség jelenik meg egy fórumon vagy csevegésben, ne hajtsa végre, és soha ne illesszen ismeretlen kódot a böngésző konzoljába.
- Legyen óvatos a tőzsdei felugró ablakokkal. A tőzsdéket a cím kézi beírásával vagy könyvjelző használatával érje el, és hagyja figyelmen kívül a váratlan felszólításokat.
- Használjon szkriptblokkolót. Annak korlátozása, hogy mely JavaScript futhat, csökkenti az injektált kód működési terét.
- Először küldjön egy kis tesztüzenetet. Nagy utalásoknál erősítse meg, hogy a pénzeszközök a megfelelő helyre érkeztek, mielőtt a teljes összeget elküldi.
- Tartsa a kriptovaluta-tevékenységet tiszta böngészőprofilban. Kevesebb bővítmény és kevesebb kapcsolódó lap kevesebb esélyt jelent arra, hogy valami beavatkozzon.
Kulcsfontosságú tanulságok
A hamis Changelly nulla napos tárca-eltérítési kampány emlékeztető arra, hogy a leghitelesebb csali gyakran azokat célozza, akik azt hiszik, ők a támadók. A gyakorlati védelem egyszerű: ne futtasson olyan kódot, amelyben nem bízhat, blokkolja a szükségtelen szkripteket, és erősítse meg minden tárcacímét egy hardveres tárca képernyőjén, mielőtt jóváhagy egy tranzakciót. Tekintse a böngészőjét nem megbízhatónak a végső ellenőrzés szempontjából, és legyen óvatos nyilvános vagy ismeretlen hálózatokon, amikor kriptovalutát mozgat.
