Saldırgan olmaya hevesli kişiler arasında dolaşan sözde bir Changelly sıfır gün açığı, aslında bir yem olduğu ortaya çıktı. ThreatMon tarafından yapılan bir araştırmaya göre, kod bir kripto para işlemi ele geçirme aracıdır ve zarar görme olasılığı en yüksek olanlar onu çalıştıranlardır. Bu sahte Changelly sıfır gün cüzdan ele geçirme düzeni, saldırganların meraklıları, fırsatçıları ve dikkatsizleri aynı JavaScript parçasıyla nasıl hedefleyebileceğini gösteriyor.
Sahte Changelly açığı kurbanları nasıl cezbetti
Kampanya, bir kripto para borsa hizmeti olan Changelly'deki bir güvenlik açığı için çalışan bir istismar kodu olarak süslenmişti. Sıfır gün açığı iddiaları etkili bir kancadır. Sıfır gün, satıcının henüz bilmediği bir güvenlik açığıdır, bu nedenle hazır bir istismar kodu vaadi, bundan kâr elde etmeyi uman veya sadece test etmek isteyen kişileri cezbeder.
Tuzak da burada. ThreatMon'a göre, sahte güvenlik açığı iddiaları kullanıcıları kodla etkileşime girmeye çekmek için kullanıldı. Betik Changelly'ye saldırmak yerine, onu çalıştıran her kimse ona karşı çalışır. Saldırgan olmaya niyetlenen kişi hedef haline gelir.
Bu yaklaşım özünde yeni değil. Güvenlik araştırmacıları uzun zamandır kestirme yollar arayan kişilere yönelik tuzaklı kavram kanıtı kodları ve sahte araçlar görüyor. Bu vakayı dikkate değer kılan şey ise belirli yük: kripto işlemlerine doğrudan tarayıcıda müdahale etmek için oluşturulmuş bir betik.
Kötü amaçlı betik cüzdan adreslerine ne yapıyor
Kötü amaçlı JavaScript, ThreatMon'un bulgularına dayanarak iki şey yapmak üzere tasarlanmıştı:
- Cüzdan adreslerini değiştirmek. Bir kullanıcı bir işlem için hedef adres girdiğinde veya kopyaladığında, betik saldırganın kontrolündeki bir adresi yerine koyabilir. İyi niyetle gönderilen fonlar yanlış cüzdana gider.
- Görüntülenen borsa değerlerini manipüle etmek. Betik ekranda gösterilen sayıları değiştirebilir, böylece kullanıcının gördüğü oranlar veya tutarlar gerçeklikle örtüşmez. Bu, hırsızlığı gizlemeye yardımcı olur ve işlemin normal görünmesini sağlar.
Kripto işlemleri genellikle geri alınamaz. Coinler bir saldırganın adresine gönderildikten sonra, genellikle aranacak bir banka ve talep edilecek bir geri ödeme yoktur. Bu, bir hedef adresi sessizce değiştiren herhangi bir aracı özellikle zararlı kılar.
Tarayıcı düzeyinde ele geçirmeyi fark etmek neden zor
Bu tür bir saldırının bir borsaya sızması, bir şifreyi kırması veya bir özel anahtarı çalması gerekmez. Bilgileri görüntülediğiniz ve onayladığınız noktada çalışır: tarayıcınız. Sayfanın kendisi enjekte edilen JavaScript tarafından değiştiriliyorsa, gördüğünüz şey gerçekte olan şey olmayabilir.
Bunu yakalamanın zor olmasının birkaç nedeni:
- Uzun adresleri okumak zordur. Cüzdan adresleri rastgele karakter dizileridir. Çok az kişi her karakteri kontrol eder ve saldırganlar sıklıkla buna güvenir.
- Arayüz hâlâ meşru görünür. Görüntülenen borsa değerleri manipüle edilirse, ekran gönderme anına kadar tutarlı ve güvenilir görünebilir.
- Belirgin bir uyarı yoktur. Başarısız bir oturum açma veya güvenlik uyarısının aksine, değiştirilmiş bir adres hiçbir hata mesajı üretmez.
Ders şu ki, gerçek para söz konusu olduğunda yalnızca tarayıcı görüntüsü güvenilir bir doğruluk kaynağı değildir.
Bu Sizin İçin Ne Anlama Geliyor
Çoğu okuyucu asla istismar kodu aramaya çıkmayacaktır, ancak altta yatan risk geniş çapta geçerlidir. Tarayıcı oturumunuzda çalışan herhangi bir betik, ister şüpheli bir indirmeden, ister yapıştırılmış bir konsol parçacığından, ister güvenilmez bir uzantıdan, ister ele geçirilmiş bir sayfadan gelsin, bir kripto işlemi sırasında gördüklerinizi değiştirebilir.
Kripto ile uğraşıyorsanız, resmi olmayan "istismar" veya "bonus" kodlarını varsayılan olarak düşmanca kabul edin. Bir başkasının fonlarına kolay erişim vaat eden kod, merak değil şüphe uyandırmalıdır. Ve eğer bir güvenlik araştırmacısı veya hobi meraklısıysanız, bilinmeyen kodu yalnızca izole bir ortamda analiz edin, asla gerçek cüzdanlarınıza bağlı bir makinede veya tarayıcı profilinde değil.
Ağ hijyeni de önemlidir. Güvenilmeyen ağlar, Microsoft'un otel Wi-Fi ağlarındaki Rus hackerlar hakkındaki uyarısında gösterildiği gibi, saldırganların çevrimiçi yaptıklarınızı kurcalaması için başka bir yol ekler. Bu rapor kimlik bilgisi hırsızlığı ve kötü amaçlı yazılımla ilgiliydi, kripto ile değil, ancak dikkat geçerlidir: güvenmediğiniz ağlarda kripto işlemlerinden kaçının.
Kripto işlemlerinizi koruyan kontroller
Birkaç alışkanlık, adres değiştirme betiklerine fon kaybetme olasılığını keskin biçimde azaltır:
- Adresi bir donanım cüzdanı ekranında doğrulayın. Cihaz ekranı tarayıcınızdan ayrıdır, bu nedenle enjekte edilen JavaScript onu değiştiremez. Oradaki adresi amaçladığınız alıcıyla karşılaştırın.
- Resmi olmayan istismar kodunu asla çalıştırmayın. Sözde bir Changelly sıfır gün açığı veya başka bir istismar kodu bir forumda veya sohbette görünürse, çalıştırmayın ve bilinmeyen kodu asla tarayıcı konsolunuza yapıştırmayın.
- Borsa açılır pencerelerine karşı dikkatli olun. Borsalara adresi kendiniz yazarak veya bir yer imi kullanarak ulaşın ve beklenmedik istemleri yok sayın.
- Bir betik engelleyici kullanın. Hangi JavaScript'in çalışabileceğini sınırlamak, enjekte edilen kodun çalışma alanını azaltır.
- Önce küçük bir test işlemi gönderin. Büyük transferler için, tam tutarı göndermeden önce fonların doğru yere ulaştığını onaylayın.
- Kripto etkinliğini temiz bir tarayıcı profilinde tutun. Daha az uzantı ve daha az ilgisiz sekme, bir şeyin müdahale etme şansının daha az olması anlamına gelir.
Temel Çıkarımlar
Sahte Changelly sıfır gün cüzdan ele geçirme kampanyası, en inandırıcı yemin genellikle kendini saldırgan sanan kişileri hedef aldığının bir hatırlatıcısıdır. Pratik savunma basittir: güvenemeyeceğiniz kodu çalıştırmayın, gereksiz betikleri engelleyin ve bir işlemi onaylamadan önce her cüzdan adresini bir donanım cüzdanı ekranında doğrulayın. Son kontrol için tarayıcınızı güvenilmez olarak değerlendirin ve kripto taşırken genel veya tanıdık olmayan ağlarda dikkatli olun.
