Dangereux d'extension pour le navigateur, ou Comment facilement perdre ses криптовалюты?

Nous avons l'occasion de rappeler comment криптовалюты, de ne pas tomber sur des trucs et en général de ne pas perdre vos précieux des pièces de monnaie. Les méthodes d'escrocs se développent d'année en année, et maintenant, certains d'entre eux sont si adroits et déguisés, que même techniquement подкованному l'utilisateur est difficile de reconnaître le danger. Aujourd'hui étudierons en détail le thème malveillants extensions pour les navigateurs. Il semblerait qu'ils doivent faciliter la vie, mais souvent font qu'empirer les choses.

ci-Dessous est une traduction de l'article de l'utilisateur Harry .

Ne pas tout de suite

Je suis Récemment tombé sur un projet qui promet кэшбек de chaque transaction, y compris le commerce de la centralisation des échanges. Pour obtenir de 5 pour cent, il suffit d'installer l'extension pour le navigateur. Si une offre semble trop beau pour être vrai, c'est probablement une fraude. Au moment de la découverte de l'application de la CCB Cash avec ID Chrome liachincjagnalnmahhaioaogkngbmhf 181 l'utilisateur. Maintenant, l'application a disparu de la boutique.

Produit qui promet un remboursement de 5% sur tous vos блокчейн les transactions. Trop beau pour être vrai.

J'ai appris le code et a trouvé en lui un comportement malveillant. Logiciels malveillants extension intéressé seulement dans les pièces suivantes: , , , , , et .

Les autorisations demandées par l'extension?

Après l'installation de l'extension de demande d'accès en écriture à une variété de domaines, y compris Github, Exmo, Coinbase, Binance, HitBTC, LocalBitcoins et les autres. Il demande l'accès à tous les onglets ouverts et à vos cookies, ces autorisations souvent galvaudé, volant vos actifs avec les différentes bourses et sacs à main.

Que fait-il?

Si le résumer en une seule phrase, l'extension vole toutes vos données confidentielles en fonction du domaine. Par exemple, sur Binance il vole les données d'identification, codes d'authentification à deux facteurs et CSRF, jetons, après quoi essaie automatiquement de sortir de la pièce.

Voyons comment ça se passe.

Étape 1. Vol de données d'entrée

L'Extension contient le code qui se déclenche lorsque vous appuyez sur le bouton de connexion et il vole de l'entrée d'un mail et le mot de passe, tout en les gardant dans LocalStorage et l'envoyer sur votre serveur sans perturber le flux normal du processus d'entrée en bourse.

Code, qui dérobe des données d'entrée sur Binance

Étape 2. Le vol des codes d'authentification à deux facteurs

Lorsque vous vous connectez, l'extension surveille l'entrée d'authentification à deux facteurs et attend jusqu'à ce que le formulaire ne sera pas envoyé. Après cela, il traduit le code sur votre serveur avec stockés dans le LocalStorage mail et le mot de passe de la première étape.

Code, qui dérobe le code d'authentification à deux facteurs lors de la connexion

Après l'entrée de l'extension de toutes les 5 minutes vous demandera le code de Google Authenticator, qui sera envoyé sur le serveur. Cela donne des attaquants plus de tentatives, si ils vont essayer de se connecter à votre compte et mmes un code qui est envoyé lors de la connexion.

Demande de code d'authentification à deux facteurs Google sur Binance

l'Étape 3. Vol CSRF token et conclusion

Lorsque vous naviguez sur Binance votre équilibre, l'extension de vole de votre fichier de cookies jeton CSRF et envoie-le sur votre serveur. Après cela, il fait une requête POST, pour s'emparer de l'équilibre des pièces, et tente discrètement de les déduire.

L'Extension vole CSRF, jetons, pour effectuer au-dessus d'eux la fonction md5() et faire une requête POST, /exchange/private/yserAssetTransferBtc pour la prise de possession de votre équilibre. Après cela, l'extension de trie les pièces de valeur, et tente de les afficher.

Si l'extension détecte une pièce de monnaie avec un solde de plus de 0.01 BTC, que vous pouvez afficher, il vous emmène sur la page de la sortie de la pièce avec le prix le plus élevé remplit automatiquement une demande de retrait et clique sur le bouton d'envoi automatique. Il est également размажет écran Binance, en insérant dans le corps du document, l'élément div, mis à l'avant-plan, et en changeant le texte de confirmation de code d'authentification à deux facteurs. Il est nécessaire, pour vous convaincre que vous avez quitté le site. Tout cela se passe très vite, et vous ne remarquerez même pas que vous êtes redirigé vers une page.

l'Utilisateur croit que sa session est terminée

Lorsqu'un utilisateur entre un code d'authentification à deux facteurs pour restaurer la session (on ne savait pas qu'il confirme la conclusion de pièces de monnaie à l'adresse de l'attaquant), après quoi il sera demandé de vérifier le courrier. Bien sûr, l'utilisateur recevra seulement la lettre de confirmation de la sortie, mais si il ne sera pas de lire le contenu de la lettre et il suffit de clique un lien, il confirme la conclusion et de lancer le processus. La même chose se produit sur Coinbase: périodiques demandes de code d'authentification à deux facteurs et l'enlèvement des cookies et des données d'entrée.

Exemple introduit une extension pour le navigateur de formulaire de saisie d'un code d'authentification à deux facteurs sur Coinbase

Si vous allez consulter un compte, l'extension de calculer l'actif avec le prix le plus élevé, est également en envoyant le coût de l'ensemble de vos actifs sur votre serveur, et tente de retirer de l'argent. Elle ressemble à ceci.

L'Extension modifie la structure de la fenêtre de sortie, afin de forcer l'utilisateur à entrer les données (la valeur de hachage MD5 pendant le test, je l'ai changé, ce qui est tout contrôler). Lors des tests, j'ai eu 100 livres, de sorte que vous laissent de 3 pour cent.

Cela se produit lors de chaque chargement de la page avec vos comptes, doncl'utilisateur peut accidentellement démarrer la conclusion. Sournoisement. Par conséquent, l'extension vole vos données d'entrée à la bourse et essaie de vous faire confirmer le transfert de fonds à des attaquants.

Où vont les moyens?

Les Attaquants ont l'adresse suivante:

• – 16EegrNMdZ9Rxku6Za5neEFjMW57wkQr1s;
• – 0x03b70dc31abf9cf6c1cf80bfeeb322e8d3dbb4ca;
• – 1PCh7w6LdcEv1sWd5wtvkELHcWe5HumUi3;
• – LRPChoyN8qLWENjo1dUjk2bESZjE7bQ6sp;
• – 0x03B70DC31abF9cF6C1cf80bfEEB322e8d3dbb4ca;
• – rGmdGrMjvxt6S3VjF4M78U2YMLPR6XLPsn;
• – 0x4F53C9882Ba87d2D7c525dF2aEF2540efb6e32e5.

Depuis le lancement de l'extension dans la boutique Chrome 3 décembre 2018, les pirates ont volé 23,23550279 BTC. L'information sera véridique, si l'on suppose que ces adresses sont utilisées uniquement pour cette extension, et à travers eux ont passé краденные).

Quels sont les secrets avons-nous trouvé?

• l'adresse de l'intrus;
• serveurs et de domaines;
• commentaires au code de la langue russe – est très probable que ce sont les russes.

Nous avons également couvert le domaine du serveur d'intrus, donc ceux qui ont installé l'extension, plus ne seront pas de ses victimes. Mais nous demandons à supprimer l'extension de navigateur et modifier le mail et les mots de passe dans tous les криптосервисах que vous utilisez.

L'Extension accomplit les actes malveillants sur les plates-formes suivantes: Exmo, Coinbase, Hbg / Huobi, HitBTC, Binance, LocalBitcoins, Blockchain, et .

Comment se protéger?

• n'installez Pas incompréhensible programme, qui d'une manière importune demandent des droits d'accès;
• si vous pensez, c'est probablement parce qu'il est la;
• analysez régulièrement les extensions qui sont installés dans votre navigateur et supprimez inutilisés;
• si votre navigateur dispose d'une extension que vous utilisez, recherchez la version du/alternative open source ou désactivez les mises à jour automatiques à partir de la boutique google Chrome. Vérifiez le code ou recherchez une personne de confiance, qui est capable de le faire.

Plus de données cherchez .