En påstått Changelly null-dagers sårbarhet som sirkulerer blant potensielle angripere viser seg å være agn. Ifølge en undersøkelse gjort av ThreatMon er koden et verktøy for å kapre kryptovalutatransaksjoner, og de som mest sannsynlig blir skadet, er de som kjører den. Denne falske Changelly null-dagers lommebokkapringssvindelen viser hvordan angripere kan rette seg mot de nysgjerrige, de opportunistiske og de uforsiktige med det samme stykket JavaScript.
Hvordan den falske Changelly-exploiten lurte ofrene
Kampanjen var kledd ut som en fungerende exploit for en sårbarhet i Changelly, en kryptovalutabørsstjeneste. Påstander om en null-dagers sårbarhet er en effektiv krok. En null-dagers er en sårbarhet som leverandøren ennå ikke kjenner til, så løftet om en ferdiglaget exploit tiltrekker seg folk som håper å tjene på den eller bare teste den.
Det er fellen. Ifølge ThreatMon ble de falske sårbarhetspåstandene brukt til å lokke brukere til å engasjere seg med koden. I stedet for å angripe Changelly, jobber skriptet mot den som kjører det. Den potensielle angriperen blir målet.
Tilnærmingen er ikke ny i ånden. Sikkerhetsforskere har lenge sett felleriggte proof-of-concept-koder og falske verktøy rettet mot folk som leter etter snarveier. Det som gjør denne saken bemerkelsesverdig, er den spesifikke nyttelasten: et skript bygget for å forstyrre kryptotransaksjoner direkte i nettleseren.
Hva det ondsinnede skriptet gjør med lommebokadresser
Det ondsinnede JavaScriptet ble designet for å gjøre to ting, basert på ThreatMons funn:
- Erstatte lommebokadresser. Når en bruker skriver inn eller kopierer en mottakeradresse for en transaksjon, kan skriptet bytte inn en adresse kontrollert av angriperen. Midler sendt i god tro havner i feil lommebok.
- Manipulere viste vekslingsverdier. Skriptet kan endre tallene som vises på skjermen, slik at kursene eller beløpene en bruker ser ikke samsvarer med virkeligheten. Dette hjelper med å skjule tyveriet og får transaksjonen til å se normal ut.
Kryptotransaksjoner er generelt irreversible. Når mynter er sendt til en angripers adresse, er det vanligvis ingen bank å ringe og ingen tilbakeføring å be om. Det gjør ethvert verktøy som i det stille endrer en mottakeradresse spesielt skadelig.
Hvorfor kapring på nettlesernivå er vanskelig å oppdage
Denne typen angrep trenger ikke å bryte seg inn i en børs, knekke et passord eller stjele en privat nøkkel. Det fungerer på det punktet hvor du ser og bekrefter informasjon: nettleseren din. Hvis selve siden blir endret av injisert JavaScript, er det du ser kanskje ikke det som faktisk skjer.
Noen grunner til at dette er vanskelig å fange opp:
- Lange adresser er vanskelige å lese. Lommebokadresser er strenger med tilfeldige tegn. Få sjekker hvert eneste tegn, og angripere baserer seg ofte på det.
- Grensesnittet ser fortsatt legitimt ut. Hvis viste vekslingsverdier blir manipulert, kan skjermen se konsistent og pålitelig ut helt frem til sendetidspunktet.
- Det er ingen åpenbar advarsel. I motsetning til en mislykket innlogging eller en sikkerhetsvarsel, gir en byttet adresse ingen feilmelding.
Lærdommen er at nettleserens visning alene ikke er en pålitelig sannhetskilde når ekte penger er involvert.
Hva dette betyr for deg
De fleste lesere kommer aldri til å lete etter exploit-kode, men den underliggende risikoen gjelder bredt. Ethvert skript som kjører i nettleserøkten din, enten det kommer fra en tvilsom nedlasting, en innlimt konsollsnutte, en lyssky utvidelse eller en kompromittert side, kan endre det du ser under en kryptotransaksjon.
Hvis du håndterer krypto, behandle uoffisiell "exploit"- eller "bonus"-kode som fiendtlig som standard. Kode som lover enkel tilgang til andres midler bør vekke mistanke, ikke nysgjerrighet. Og hvis du er sikkerhetsforsker eller hobbyist, analyser ukjent kode kun i et isolert miljø, aldri på en maskin eller nettleserprofil knyttet til dine ekte lommebøker.
Nettverkshygiene er også viktig. Uklarerte nettverk gir angripere en ekstra måte å tukle med det du gjør på nettet, som vist i Microsofts advarsel om russiske hackere på hotell-Wi-Fi-nettverk. Den rapporten handlet om tyveri av påloggingsinformasjon og skadevare, ikke krypto, men forsiktigheten gjelder: unngå å håndtere krypto på nettverk du ikke stoler på.
Sjekker som beskytter kryptotransaksjonene dine
Noen få vaner reduserer sjansen betraktelig for å miste midler til adressebyttende skript:
- Verifiser adressen på en maskinvarelommebok-skjerm. Enhetsdisplayet er atskilt fra nettleseren din, så injisert JavaScript kan ikke endre det. Sammenlign adressen der med den tiltenkte mottakeren.
- Kjør aldri uoffisiell exploit-kode. Hvis en påstått Changelly null-dagers eller en hvilken som helst annen exploit dukker opp i et forum eller en chat, ikke kjør den, og lim aldri ukjent kode inn i nettleserkonsollen.
- Vær forsiktig med børs-popup-vinduer. Nå børser ved å skrive inn adressen selv eller bruke et bokmerke, og ignorer uventede meldinger.
- Bruk en skriptblokkerer. Å begrense hvilket JavaScript som kan kjøre reduserer rommet for injisert kode til å operere.
- Send først en liten testtransaksjon. For store overføringer, bekreft at midlene ankommer riktig sted før du sender hele beløpet.
- Hold kryptoaktivitet på en ren nettleserprofil. Færre utvidelser og færre urelaterte faner betyr færre sjanser for at noe forstyrrer.
Viktige punkter
Kampanjen med den falske Changelly null-dagers lommebokkapringen er en påminnelse om at det mest overbevisende agnet ofte retter seg mot folk som tror de er angriperen. Det praktiske forsvaret er enkelt: ikke kjør kode du ikke kan stole på, blokker unødvendige skript, og bekreft hver lommebokadresse på en maskinvarelommebok-skjerm før du godkjenner en transaksjon. Behandle nettleseren din som uklarert for den endelige sjekken, og vær forsiktig på offentlige eller ukjente nettverk når du flytter krypto.
