Un presupus exploit zero-day Changelly care circulă printre viitorii atacatori se dovedește a fi o momeală. Conform unei investigații realizate de ThreatMon, codul este un instrument de deturnare a tranzacțiilor cu criptomonede, iar cei mai susceptibili de a fi afectați sunt cei care îl rulează. Această schemă falsă de deturnare a portofelului prin exploit zero-day Changelly arată cum atacatorii pot viza curiosul, oportunistul și neglijentul cu aceeași bucată de JavaScript.
Cum a atras victimele falsul exploit Changelly
Campania a fost prezentată ca un exploit funcțional pentru o vulnerabilitate în Changelly, un serviciu de schimb de criptomonede. Afirmațiile despre o vulnerabilitate zero-day sunt un cârlig eficient. Un zero-day este o vulnerabilitate despre care furnizorul nu știe încă, astfel încât promisiunea unui exploit gata pregătit atrage oameni care speră să profite de el sau pur și simplu să îl testeze.
Aceasta este capcana. Conform ThreatMon, afirmațiile false despre vulnerabilitate au fost folosite pentru a atrage utilizatorii să interacționeze cu codul. În loc să atace Changelly, scriptul acționează împotriva celui care îl execută. Viitorul atacator devine ținta.
Abordarea nu este nouă în esență. Cercetătorii în securitate văd de mult timp cod proof-of-concept capcană și instrumente false destinate celor care caută scurtături. Ce face acest caz notabil este payload-ul specific: un script construit pentru a interfera direct cu tranzacțiile crypto în browser.
Ce face scriptul malițios cu adresele de portofel
JavaScript-ul malițios a fost conceput să facă două lucruri, pe baza constatărilor ThreatMon:
- Înlocuiește adresele de portofel. Când un utilizator introduce sau copiază o adresă de destinație pentru o tranzacție, scriptul poate înlocui o adresă controlată de atacator. Fondurile trimise cu bună-credință ajung în portofelul greșit.
- Manipulează valorile de schimb afișate. Scriptul poate altera numerele afișate pe ecran, astfel încât cursurile sau sumele pe care le vede un utilizator să nu corespundă realității. Acest lucru ajută la ascunderea furtului și face tranzacția să pară normală.
Tranzacțiile crypto sunt în general ireversibile. Odată ce monedele sunt trimise către adresa unui atacator, de obicei nu există o bancă de contactat și nicio rambursare de solicitat. Asta face ca orice instrument care schimbă în tăcere o adresă de destinație să fie deosebit de dăunător.
De ce deturnarea la nivel de browser este greu de observat
Acest tip de atac nu trebuie să spargă un exchange, să spargă o parolă sau să fure o cheie privată. Funcționează în punctul în care vizualizezi și confirmi informațiile: browserul tău. Dacă pagina în sine este alterată de JavaScript injectat, ceea ce vezi s-ar putea să nu fie ceea ce se întâmplă de fapt.
Câteva motive pentru care acest lucru este dificil de depistat:
- Adresele lungi sunt greu de citit. Adresele de portofel sunt șiruri de caractere aleatorii. Puțini oameni verifică fiecare caracter, iar atacatorii se bazează adesea pe asta.
- Interfața arată în continuare legitimă. Dacă valorile de schimb afișate sunt manipulate, ecranul poate părea consistent și de încredere până în momentul trimiterii.
- Nu există un avertisment evident. Spre deosebire de o autentificare eșuată sau o alertă de securitate, o adresă înlocuită nu produce niciun mesaj de eroare.
Lecția este că afișajul din browser, singur, nu este o sursă de adevăr de încredere atunci când sunt implicați bani reali.
Ce înseamnă acest lucru pentru tine
Majoritatea cititorilor nu vor merge niciodată să caute cod de exploit, dar riscul de bază se aplică în general. Orice script care rulează în sesiunea ta de browser, fie că provine dintr-o descărcare dubioasă, un fragment de cod lipit în consolă, o extensie suspectă sau o pagină compromisă, ar putea altera ceea ce vezi în timpul unei tranzacții crypto.
Dacă te ocupi de crypto, tratează codul neoficial de „exploit” sau „bonus” ca ostil în mod implicit. Codul care promite acces ușor la fondurile altcuiva ar trebui să trezească suspiciune, nu curiozitate. Iar dacă ești cercetător în securitate sau pasionat, analizează codul necunoscut doar într-un mediu izolat, niciodată pe o mașină sau un profil de browser legat de portofelele tale reale.
Igiena rețelei contează și ea. Rețelele nesigure adaugă o altă modalitate prin care atacatorii pot manipula ceea ce faci online, așa cum arată avertismentul Microsoft despre hackerii ruși pe rețelele Wi-Fi din hoteluri. Acel raport privea furtul de credențiale și malware, nu crypto, dar precauția se aplică: evită să gestionezi crypto pe rețele în care nu ai încredere.
Verificări care îți protejează tranzacțiile crypto
Câteva obiceiuri reduc drastic șansele de a pierde fonduri din cauza scripturilor de înlocuire a adreselor:
- Verifică adresa pe ecranul unui portofel hardware. Afișajul dispozitivului este separat de browserul tău, așa că JavaScript-ul injectat nu îl poate modifica. Compară adresa de acolo cu destinatarul dorit.
- Nu rula niciodată cod de exploit neoficial. Dacă un presupus zero-day Changelly sau orice alt exploit apare pe un forum sau într-un chat, nu îl executa și nu lipi niciodată cod necunoscut în consola browserului.
- Fii precaut cu ferestrele pop-up ale exchange-urilor. Accesează exchange-urile tastând tu adresa sau folosind un bookmark și ignoră solicitările neașteptate.
- Folosește un blocant de scripturi. Limitarea JavaScript-ului care poate rula reduce spațiul de operare pentru codul injectat.
- Trimite mai întâi o tranzacție mică de test. Pentru transferuri mari, confirmă că fondurile ajung în locul corect înainte de a trimite suma completă.
- Păstrează activitatea crypto pe un profil de browser curat. Mai puține extensii și mai puține file nelegate înseamnă mai puține șanse ca ceva să interfereze.
Concluzii cheie
Campania falsă de deturnare a portofelului prin exploit zero-day Changelly este o reamintire că cea mai convingătoare momeală vizează adesea oameni care cred că ei sunt atacatorii. Apărarea practică este simplă: nu rula cod în care nu poți avea încredere, blochează scripturile inutile și confirmă fiecare adresă de portofel pe ecranul unui portofel hardware înainte de a aproba o tranzacție. Tratează browserul ca nesigur pentru verificarea finală și rămâi precaut pe rețelele publice sau necunoscute atunci când transferi crypto.
