Khai thác zero-day Changelly giả mạo thực chất là gì?

Theo ThreatMon, đó là một công cụ chiếm đoạt giao dịch tiền mã hóa được ngụy trang thành một khai thác hoạt động thực sự. Những người dễ bị tổn hại nhất chính là những người chạy nó.

Tại sao kiểu chiếm đoạt ở cấp trình duyệt này khó phát hiện?

Địa chỉ ví dài rất khó đọc, giao diện vẫn trông hợp pháp khi các giá trị hiển thị bị thao túng, và một địa chỉ bị hoán đổi không tạo ra thông báo lỗi hay cảnh báo nào.

Khai thác zero-day Changelly giả mạo chiếm đoạt ví tiền mã hóa

Q: Tại sao ai đó lại chạy khai thác giả mạo ngay từ đầu?

Những tuyên bố về lỗ hổng zero-day là một mồi nhử hiệu quả, thu hút những người hy vọng kiếm lợi từ nó hoặc chỉ đơn giản là muốn thử nghiệm. Đó chính là cái bẫy: những tuyên bố về lỗ hổng giả mạo dụ người dùng tương tác với đoạn mã.

Q: Đoạn script độc hại làm gì?

Dựa trên phát hiện của ThreatMon, nó thay thế địa chỉ ví bằng một địa chỉ do kẻ tấn công kiểm soát và thao túng các giá trị trao đổi hiển thị để tỷ giá hoặc số lượng không khớp với thực tế.

Q: Tại sao các giao dịch tiền mã hóa đặc biệt nguy hại khi bị chiếm đoạt?

Các giao dịch tiền mã hóa thường không thể đảo ngược, nên một khi coin đã được gửi đến địa chỉ của kẻ tấn công, thường không có ngân hàng nào để gọi và không có yêu cầu hoàn tiền nào.

Một khai thác zero-day Changelly được cho là đang lan truyền trong giới những kẻ muốn tấn công hóa ra lại là mồi nhử. Theo điều tra của ThreatMon, đoạn mã này là một công cụ chiếm đoạt giao dịch tiền mã hóa, và những người dễ bị tổn hại nhất chính là những người chạy nó. Kế hoạch chiếm đoạt ví bằng zero-day Changelly giả mạo này cho thấy cách kẻ tấn công có thể nhắm vào những người tò mò, cơ hội và bất cẩn chỉ bằng cùng một đoạn JavaScript.

Cách khai thác Changelly giả mạo dụ dỗ nạn nhân

Chiến dịch này được ngụy trang như một khai thác hoạt động thực sự cho một lỗ hổng trong Changelly, một dịch vụ trao đổi tiền mã hóa. Những tuyên bố về lỗ hổng zero-day là một mồi nhử hiệu quả. Zero-day là lỗ hổng mà nhà cung cấp chưa biết đến, nên lời hứa về một khai thác sẵn có thu hút những người hy vọng kiếm lợi từ nó hoặc chỉ đơn giản là muốn thử nghiệm.

Đó chính là cái bẫy. Theo ThreatMon, những tuyên bố về lỗ hổng giả mạo được dùng để dụ người dùng tương tác với đoạn mã. Thay vì tấn công Changelly, đoạn script lại chống lại chính người thực thi nó. Kẻ tấn công tiềm năng trở thành mục tiêu.

Cách tiếp cận này không mới về bản chất. Các nhà nghiên cứu bảo mật từ lâu đã thấy mã proof-of-concept bị gài bẫy và các công cụ giả mạo nhắm vào những người đi tìm đường tắt. Điều khiến trường hợp này đáng chú ý là payload cụ thể: một đoạn script được xây dựng để can thiệp trực tiếp vào các giao dịch tiền mã hóa ngay trong trình duyệt.

Đoạn script độc hại làm gì với địa chỉ ví

Đoạn JavaScript độc hại được thiết kế để làm hai việc, dựa trên phát hiện của ThreatMon:

Thay thế địa chỉ ví. Khi người dùng nhập hoặc sao chép địa chỉ đích cho một giao dịch, đoạn script có thể hoán đổi sang một địa chỉ do kẻ tấn công kiểm soát. Tiền được gửi với thiện ý lại kết thúc trong ví sai.
Thao túng giá trị trao đổi hiển thị. Đoạn script có thể thay đổi các con số hiển thị trên màn hình, khiến tỷ giá hoặc số lượng người dùng thấy không khớp với thực tế. Điều này giúp che giấu hành vi trộm cắp và làm giao dịch trông có vẻ bình thường.

Các giao dịch tiền mã hóa thường không thể đảo ngược. Một khi coin đã được gửi đến địa chỉ của kẻ tấn công, thường không có ngân hàng nào để gọi và không có yêu cầu hoàn tiền nào. Điều đó khiến bất kỳ công cụ nào âm thầm thay đổi địa chỉ đích trở nên đặc biệt nguy hiểm.

Vì sao chiếm đoạt ở cấp trình duyệt khó phát hiện

Kiểu tấn công này không cần đột nhập vào sàn giao dịch, bẻ khóa mật khẩu hay đánh cắp khóa riêng tư. Nó hoạt động ngay tại điểm mà bạn xem và xác nhận thông tin: trình duyệt của bạn. Nếu chính trang web bị thay đổi bởi JavaScript được chèn vào, những gì bạn thấy có thể không phải là những gì đang thực sự diễn ra.

Một vài lý do khiến điều này khó phát hiện:

Địa chỉ dài rất khó đọc. Địa chỉ ví là những chuỗi ký tự ngẫu nhiên. Ít người kiểm tra từng ký tự, và kẻ tấn công thường dựa vào điều đó.
Giao diện vẫn trông hợp pháp. Nếu giá trị trao đổi hiển thị bị thao túng, màn hình có thể trông nhất quán và đáng tin cậy cho đến đúng khoảnh khắc gửi đi.
Không có cảnh báo rõ ràng. Không giống như đăng nhập thất bại hay cảnh báo bảo mật, một địa chỉ bị hoán đổi không tạo ra thông báo lỗi nào.

Bài học là chỉ riêng màn hình trình duyệt không phải là nguồn xác thực đáng tin cậy khi liên quan đến tiền thật.

Điều này có ý nghĩa gì với bạn

Hầu hết độc giả sẽ không bao giờ đi tìm mã khai thác, nhưng rủi ro tiềm ẩn thì áp dụng rộng rãi. Bất kỳ đoạn script nào chạy trong phiên trình duyệt của bạn, dù từ một bản tải xuống đáng ngờ, một đoạn mã console được dán vào, một tiện ích mở rộng mờ ám hay một trang web bị xâm phạm, đều có thể thay đổi những gì bạn thấy trong một giao dịch tiền mã hóa.

Nếu bạn xử lý tiền mã hóa, hãy mặc định coi các mã "khai thác" hoặc "thưởng" không chính thức là thù địch. Những đoạn mã hứa hẹn truy cập dễ dàng vào tiền của người khác nên làm dấy lên nghi ngờ, chứ không phải tò mò. Và nếu bạn là nhà nghiên cứu bảo mật hoặc người đam mê, chỉ nên phân tích mã không rõ nguồn gốc trong một môi trường cách ly, không bao giờ trên máy hoặc hồ sơ trình duyệt gắn với ví thật của bạn.

Vệ sinh mạng cũng quan trọng. Các mạng không đáng tin cậy tạo thêm một cách để kẻ tấn công can thiệp vào những gì bạn làm trực tuyến, như được trình bày trong cảnh báo của Microsoft về tin tặc Nga trên mạng Wi-Fi khách sạn. Báo cáo đó liên quan đến đánh cắp thông tin đăng nhập và phần mềm độc hại, không phải tiền mã hóa, nhưng sự thận trọng vẫn áp dụng: tránh xử lý tiền mã hóa trên những mạng bạn không tin cậy.

Những kiểm tra bảo vệ giao dịch tiền mã hóa của bạn

Một vài thói quen giúp giảm mạnh khả năng mất tiền do các script hoán đổi địa chỉ:

Xác minh địa chỉ trên màn hình ví phần cứng. Màn hình thiết bị tách biệt với trình duyệt của bạn, nên JavaScript được chèn vào không thể thay đổi nó. So sánh địa chỉ ở đó với người nhận dự định của bạn.
Không bao giờ chạy mã khai thác không chính thức. Nếu một khai thác Changelly zero-day được cho là có thật hoặc bất kỳ khai thác nào khác xuất hiện trên diễn đàn hay trò chuyện, đừng thực thi nó, và không bao giờ dán mã không rõ nguồn gốc vào console trình duyệt của bạn.
Cảnh giác với cửa sổ bật lên của sàn giao dịch. Truy cập sàn giao dịch bằng cách tự gõ địa chỉ hoặc dùng dấu trang, và bỏ qua các lời nhắc bất ngờ.
Dùng trình chặn script. Hạn chế những JavaScript nào được chạy sẽ giảm không gian cho mã được chèn vào hoạt động.
Gửi một giao dịch thử nhỏ trước. Với các khoản chuyển lớn, xác nhận tiền đến đúng nơi trước khi gửi toàn bộ số tiền.
Giữ hoạt động tiền mã hóa trên một hồ sơ trình duyệt sạch. Ít tiện ích mở rộng hơn và ít tab không liên quan hơn nghĩa là ít cơ hội hơn để thứ gì đó can thiệp.

Những điểm chính cần ghi nhớ

Chiến dịch chiếm đoạt ví bằng zero-day Changelly giả mạo là lời nhắc rằng mồi nhử thuyết phục nhất thường nhắm vào những người nghĩ mình là kẻ tấn công. Cách phòng thủ thực tế rất đơn giản: không chạy mã bạn không thể tin tưởng, chặn các script không cần thiết, và xác nhận mọi địa chỉ ví trên màn hình ví phần cứng trước khi bạn phê duyệt giao dịch. Hãy coi trình duyệt của bạn là không đáng tin cậy cho bước kiểm tra cuối cùng, và giữ thận trọng trên các mạng công cộng hoặc không quen thuộc khi chuyển tiền mã hóa.