En påstådd Changelly-zero-day-exploit som cirkulerar bland presumtiva angripare visar sig vara bete. Enligt en undersökning av ThreatMon är koden ett verktyg för att kapa kryptotransaktioner, och de som löper störst risk att skadas är de som kör den. Denna falska zero-day-kampanj för kapning av plånböcker visar hur angripare kan rikta in sig på de nyfikna, de opportunistiska och de oaktsamma med samma JavaScript-kod.
Hur den falska Changelly-exploiten lockade offer
Kampanjen var utklädd till en fungerande exploit för en sårbarhet i Changelly, en kryptovalutabörstjänst. Påståenden om en zero-day-sårbarhet är en effektiv krok. En zero-day är en sårbarhet som leverantören ännu inte känner till, så löftet om en färdig exploit lockar människor som hoppas kunna tjäna på den eller helt enkelt testa den.
Det är fällan. Enligt ThreatMon användes de falska sårbarhetspåståendena för att lura användare att engagera sig med koden. Istället för att attackera Changelly arbetar skriptet mot den som kör det. Den presumtive angriparen blir målet.
Tillvägagångssättet är inte nytt till sin anda. Säkerhetsforskare har länge sett boobytrappade proof-of-concept-koder och falska verktyg riktade mot människor som letar efter genvägar. Det som gör detta fall anmärkningsvärt är den specifika nyttolasten: ett skript byggt för att störa kryptotransaktioner direkt i webbläsaren.
Vad det skadliga skriptet gör med plånboksadresser
Det skadliga JavaScriptet var utformat för att göra två saker, baserat på ThreatMons fynd:
- Ersätta plånboksadresser. När en användare anger eller kopierar en mottagaradress för en transaktion kan skriptet byta in en adress som kontrolleras av angriparen. Medel som skickas i god tro hamnar i fel plånbok.
- Manipulera visade växlingsvärden. Skriptet kan ändra siffrorna som visas på skärmen, så att kurser eller belopp som en användare ser inte stämmer med verkligheten. Detta hjälper till att dölja stölden och får transaktionen att se normal ut.
Kryptotransaktioner är i allmänhet oåterkalleliga. När mynt väl har skickats till en angripares adress finns det vanligtvis ingen bank att ringa och ingen återbetalning att begära. Det gör alla verktyg som tyst ändrar en mottagaradress särskilt skadliga.
Varför kapning på webbläsarnivå är svår att upptäcka
Den här typen av attack behöver inte bryta sig in i en börs, knäcka ett lösenord eller stjäla en privat nyckel. Den fungerar vid den punkt där du ser och bekräftar information: din webbläsare. Om själva sidan manipuleras av injicerat JavaScript kan det du ser vara något annat än det som faktiskt händer.
Några skäl till att detta är svårt att upptäcka:
- Långa adresser är svåra att läsa. Plånboksadresser är strängar av slumpmässiga tecken. Få människor kontrollerar varje tecken, och angripare förlitar sig ofta på det.
- Gränssnittet ser fortfarande legitimt ut. Om visade växlingsvärden manipuleras kan skärmen se konsekvent och pålitlig ut ända fram till ögonblicket för avsändning.
- Det finns ingen uppenbar varning. Till skillnad från en misslyckad inloggning eller en säkerhetsvarning ger en utbytt adress inget felmeddelande.
Lärdomen är att webbläsarens visning ensam inte är en pålitlig sanningskälla när riktiga pengar är inblandade.
Vad detta innebär för dig
De flesta läsare kommer aldrig att leta efter exploitkod, men den underliggande risken gäller brett. Alla skript som körs i din webbläsarsession, oavsett om det kommer från en skum nedladdning, en inklistrad konsolsnutt, ett tvivelaktigt tillägg eller en komprometterad sida, kan ändra vad du ser under en kryptotransaktion.
Om du hanterar krypto, behandla inofficiell "exploit"- eller "bonus"-kod som fientlig som standard. Kod som lovar enkel tillgång till någon annans medel bör väcka misstanke, inte nyfikenhet. Och om du är säkerhetsforskare eller hobbyist, analysera endast okänd kod i en isolerad miljö, aldrig på en dator eller webbläsarprofil som är kopplad till dina riktiga plånböcker.
Nätverkshygien spelar också roll. Otillförlitliga nätverk utgör ytterligare ett sätt för angripare att manipulera det du gör online, vilket visas i Microsofts varning om ryska hackare på hotell-Wi-Fi-nätverk. Den rapporten handlade om stöld av inloggningsuppgifter och skadlig programvara, inte krypto, men försiktigheten gäller: undvik att hantera krypto på nätverk du inte litar på.
Kontroller som skyddar dina kryptotransaktioner
Några vanor minskar kraftigt oddsen för att förlora medel till adressutbytes-skript:
- Verifiera adressen på en hårdvaruplånboks skärm. Enhetens display är separat från din webbläsare, så injicerat JavaScript kan inte ändra den. Jämför adressen där med din avsedda mottagare.
- Kör aldrig inofficiell exploitkod. Om en påstådd Changelly-zero-day eller någon annan exploit dyker upp i ett forum eller chatt, kör den inte, och klistra aldrig in okänd kod i din webbläsarkonsol.
- Var försiktig med börsens popup-fönster. Nå börser genom att själv skriva in adressen eller använda ett bokmärke, och ignorera oväntade uppmaningar.
- Använd en skriptblockerare. Att begränsa vilket JavaScript som kan köras minskar utrymmet för injicerad kod att verka.
- Skicka först en liten testtransaktion. För stora överföringar, bekräfta att medlen anländer på rätt plats innan du skickar hela beloppet.
- Håll kryptoaktivitet på en ren webbläsarprofil. Färre tillägg och färre orelaterade flikar innebär färre chanser för något att störa.
Viktiga slutsatser
Kampanjen med den falska Changelly-zero-day-kapningen av plånböcker är en påminnelse om att det mest övertygande betet ofta riktar sig till människor som tror att de är angriparen. Försvaret i praktiken är enkelt: kör inte kod du inte kan lita på, blockera onödiga skript och bekräfta varje plånboksadress på en hårdvaruplånboks skärm innan du godkänner en transaktion. Behandla din webbläsare som otillförlitlig för den slutliga kontrollen, och var försiktig på offentliga eller obekanta nätverk när du flyttar krypto.
