ช่องโหว่ zero-day ปลอมของ Changelly ที่ถูกกล่าวอ้างและแพร่กระจายในหมู่ผู้ที่คิดจะเป็นผู้โจมตี กลายเป็นเบ็ดล่อเหยื่อ จากการสอบสวนของ ThreatMon พบว่าโค้ดดังกล่าวเป็นเครื่องมือยึด interception ธุรกรรมคริปโตเคอร์เรนซี และคนที่มีแนวโน้มจะได้รับผลกระทบมากที่สุดคือคนที่นำมันไปรันเอง แผนการยึดกระเป๋าเงินคริปโตโดยอ้างช่องโหว่ zero-day ปลอมของ Changelly นี้แสดงให้เห็นว่าผู้โจมตีสามารถมุ่งเป้าไปที่คนอยากรู้อยากเห็น คนฉวยโอกาส และคนประมาท ด้วยโค้ด JavaScript ชิ้นเดียวกันได้อย่างไร
ช่องโหว่ปลอมของ Changelly ล่อเหยื่อได้อย่างไร
แคมเปญนี้ถูกจัดฉากให้เป็นช่องโหว่ที่ใช้งานได้จริงใน Changelly ซึ่งเป็นบริการแลกเปลี่ยนคริปโตเคอร์เรนซี การกล่าวอ้างถึงช่องโหว่ zero-day เป็นเหยื่อล่อที่มีประสิทธิภาพ zero-day คือช่องโหว่ที่ผู้จำหน่ายยังไม่รู้จัก ดังนั้นคำสัญญาว่ามีช่องโหว่พร้อมใช้จึงดึงดูดคนที่หวังจะได้ประโยชน์จากมันหรือแค่อยากลองทดสอบ
นั่นคือกับดัก ตามการสอบสวนของ ThreatMon การกล่าวอ้างช่องโหว่ปลอมถูกใช้เพื่อล่อผู้ใช้ให้เข้ามาเกี่ยวข้องกับโค้ด แทนที่จะโจมตี Changelly สคริปต์กลับทำงานต่อต้านใครก็ตามที่รันมัน ผู้ที่คิดจะเป็นผู้โจมตีจึงกลายเป็นเป้าหมายเสียเอง
แนวทางนี้ไม่ใช่เรื่องใหม่ในแง่แนวคิด นักวิจัยด้านความปลอดภัยพบโค้ดพิสูจน์แนวคิดที่ถูกวางกับดักและเครื่องมือปลอมที่มุ่งเป้าไปที่คนที่มองหาทางลัดมานานแล้ว สิ่งที่ทำให้กรณีนี้โดดเด่นคือเพย์โหลดเฉพาะ: สคริปต์ที่ถูกสร้างขึ้นเพื่อรบกวนธุรกรรมคริปโตโดยตรงในเบราว์เซอร์
สคริปต์อันตรายทำอะไรกับที่อยู่กระเป๋าเงิน
จากสิ่งที่ ThreatMon ค้นพบ JavaScript อันตรายนี้ถูกออกแบบมาเพื่อทำสองสิ่ง:
- แทนที่ที่อยู่กระเป๋าเงิน เมื่อผู้ใช้กรอกหรือคัดลอกที่อยู่ปลายทางสำหรับธุรกรรม สคริปต์สามารถสลับเป็นที่อยู่ที่ผู้โจมตีควบคุม เงินที่ส่งไปโดยสุจริตจึงไปลงเอยในกระเป๋าเงินผิดใบ
- ปั่นมูลค่าแลกเปลี่ยนที่แสดงผล สคริปต์สามารถแก้ไขตัวเลขที่แสดงบนหน้าจอ เพื่อให้อัตราหรือจำนวนที่ผู้ใช้เห็นไม่ตรงกับความเป็นจริง ช่วยอำพรางการโจรกรรมและทำให้ธุรกรรมดูปกติ
ธุรกรรมคริปโตโดยทั่วไปไม่สามารถย้อนกลับได้ เมื่อเหรียญถูกส่งไปยังที่อยู่ของผู้โจมตีแล้ว โดยปกติจะไม่มีธนาคารให้โทรหาและไม่มี chargeback ให้ขอคืน นั่นทำให้เครื่องมือใดก็ตามที่แอบเปลี่ยนที่อยู่ปลายทางสร้างความเสียหายเป็นพิเศษ
ทำไมการยึดระดับเบราว์เซอร์จึงตรวจจับได้ยาก
การโจมตีประเภทนี้ไม่จำเป็นต้องเจาะระบบแลกเปลี่ยน ถอดรหัสรหัสผ่าน หรือขโมยคีย์ส่วนตัว มันทำงาน ณ จุดที่คุณดูและยืนยันข้อมูล: เบราว์เซอร์ของคุณ หากหน้าต่างเว็บถูกดัดแปลงด้วย JavaScript ที่ถูกฉีดเข้าไป สิ่งที่คุณเห็นอาจไม่ใช่สิ่งที่เกิดขึ้นจริง
เหตุผลบางประการที่ทำให้จับได้ยาก:
- ที่อยู่ยาวอ่านยาก ที่อยู่กระเป๋าเงินเป็นสตริงของตัวอักษรสุ่ม มีคนน้อยที่จะตรวจสอบทุกตัวอักษร และผู้โจมตีมักอาศัยจุดนี้
- อินเทอร์เฟซยังดูน่าเชื่อถือ หากมูลค่าแลกเปลี่ยนที่แสดงถูกปั่น หน้าจอก็ยังดูสอดคล้องและน่าไว้วางใจจนถึงวินาทีที่กดส่ง
- ไม่มีคำเตือนที่ชัดเจน ต่างจากการล็อกอินล้มเหลวหรือการแจ้งเตือนด้านความปลอดภัย ที่อยู่ที่ถูกสลับไม่สร้างข้อความแสดงข้อผิดพลาดใด ๆ
บทเรียนคือ การแสดงผลบนเบราว์เซอร์เพียงอย่างเดียวไม่ใช่แหล่งความจริงที่เชื่อถือได้เมื่อเกี่ยวกับเงินจริง
สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ
ผู้อ่านส่วนใหญ่จะไม่ไปตามล่าหาโค้ดช่องโหว่ แต่ความเสี่ยงพื้นฐานนั้นใช้ได้กว้าง สคริปต์ใดก็ตามที่ทำงานในเซสชันเบราว์เซอร์ของคุณ ไม่ว่าจะมาจากการดาวน์โหลดที่น่าสงสัย สแนปเป็ตที่วางในคอนโซล ส่วนขยายที่น่าเคลือบแคลง หรือหน้าที่ถูกบุกรุก อาจแก้ไขสิ่งที่คุณเห็นระหว่างธุรกรรมคริปโตได้
หากคุณจัดการคริปโต ให้ถือว่าโค้ด "ช่องโหว่" หรือ "โบนัส" ที่ไม่เป็นทางการเป็นศัตรูโดยค่าเริ่มต้น โค้ดที่สัญญาว่าจะเข้าถึงเงินของคนอื่นได้ง่าย ๆ ควรทำให้เกิดความสงสัย ไม่ใช่ความอยากรู้ และหากคุณเป็นนักวิจัยด้านความปลอดภัยหรือผู้ที่สนใจงานอดิเรก ให้วิเคราะห์โค้ดที่ไม่รู้จักในสภาพแวดล้อมที่แยกออกจากระบบเท่านั้น อย่าทำบนเครื่องหรือโปรไฟล์เบราว์เซอร์ที่ผูกกับกระเป๋าเงินจริงของคุณเด็ดขาด
สุขอนามัยของเครือข่ายก็สำคัญเช่นกัน เครือข่ายที่ไม่น่าไว้วางใจเพิ่มอีกช่องทางให้ผู้โจมตีดัดแปลงสิ่งที่คุณทำออนไลน์ได้ ดังที่แสดงในคำเตือนของ Microsoft เกี่ยวกับแฮกเกอร์รัสเซียบนเครือข่าย Wi-Fi ของโรงแรม รายงานดังกล่าวเกี่ยวกับการขโมยข้อมูลรับรองและมัลแวร์ ไม่ใช่คริปโต แต่ข้อควรระวังก็ใช้ได้: หลีกเลี่ยงการจัดการคริปโตบนเครือข่ายที่คุณไม่ไว้วางใจ
การตรวจสอบที่ปกป้องธุรกรรมคริปโตของคุณ
นิสัยบางประการช่วยลดโอกาสสูญเสียเงินจากสคริปต์สลับที่อยู่ได้อย่างมาก:
- ตรวจสอบที่อยู่บนหน้าจอฮาร์ดแวร์วอลเล็ต หน้าจออุปกรณ์แยกจากเบราว์เซอร์ของคุณ ดังนั้น JavaScript ที่ถูกฉีดเข้าไปจึงเปลี่ยนมันไม่ได้ เปรียบเทียบที่อยู่บนหน้าจอนั้นกับผู้รับที่คุณตั้งใจ
- อย่ารันโค้ดช่องโหว่ที่ไม่เป็นทางการ หากช่องโหว่ zero-day ของ Changelly ที่ถูกกล่าวอ้างหรือช่องโหว่อื่นใดปรากฏในฟอรัมหรือแชต อย่ารันมัน และอย่าวางโค้ดที่ไม่รู้จักลงในคอนโซลเบราว์เซอร์ของคุณเด็ดขาด
- ระวังป๊อปอัปของเว็บแลกเปลี่ยน เข้าถึงเว็บแลกเปลี่ยนโดยพิมพ์ที่อยู่เองหรือใช้บุ๊กมาร์ก และเพิกเฉยต่อข้อความแจ้งเตือนที่ไม่คาดคิด
- ใช้ตัวบล็อกสคริปต์ การจำกัดว่า JavaScript ใดสามารถทำงานได้จะลดช่องว่างให้โค้ดที่ถูกฉีดเข้ามาทำงาน
- ส่งธุรกรรมทดสอบจำนวนเล็กน้อยก่อน สำหรับการโอนจำนวนมาก ให้ยืนยันว่าเงินไปถึงที่ถูกต้องก่อนส่งจำนวนเต็ม
- เก็บกิจกรรมคริปโตไว้บนโปรไฟล์เบราว์เซอร์ที่สะอาด ส่วนขยายน้อยลงและแท็บที่ไม่เกี่ยวข้องน้อยลงหมายถึงโอกาสน้อยลงที่สิ่งใดจะเข้ามารบกวน
ประเด็นสำคัญ
แคมเปญยึดกระเป๋าเงินคริปโตโดยอ้างช่องโหว่ zero-day ปลอมของ Changelly เป็นเครื่องเตือนใจว่าเหยื่อล่อที่น่าเชื่อถือที่สุดมักมุ่งเป้าไปที่คนที่คิดว่าตนเองเป็นผู้โจมตี การป้องกันในทางปฏิบัติง่ายมาก: อย่ารันโค้ดที่คุณไว้วางใจไม่ได้ บล็อกสคริปต์ที่ไม่จำเป็น และยืนยันที่อยู่กระเป๋าเงินทุกครั้งบนหน้าจอฮาร์ดแวร์วอลเล็ตก่อนอนุมัติธุรกรรม ให้ถือว่าเบราว์เซอร์ของคุณไม่น่าไว้วางใจสำหรับการตรวจสอบขั้นสุดท้าย และระมัดระวังบนเครือข่ายสาธารณะหรือเครือข่ายที่ไม่คุ้นเคยเมื่อเคลื่อนย้ายคริปโต
