Trusselen nettleserutvidelse, eller Hvor lett det er å miste cryptocurrency?

Vi med jevne mellomrom minne deg på hvor cryptocurrencies ikke fall for triks og Generelt ikke å miste sine høyt verdsatte mynter. Metoder for svindlere utvikle seg fra år til år, og nå er noen av dem er så godt kamuflert, og at selv tech-savvy brukeren er vanskelig å gjenkjenne fare. I dag vil vi studere temaet skadelig utvidelser til nettlesere. Det ville synes at de burde gjøre livet enklere, men ofte gjør det verre.

Nedenfor er oversettelsen av artikkelen brukeren Harry på .

installere alt på

Jeg har Nylig snublet over et prosjekt som løfter cashback på hver transaksjon, inkludert handel på sentralisert børser. For å komme tilbake til 5 prosent, nok til å installere en nettleser utvidelsen. Hvis tilbud høres for godt til å være sant, så sjansene er det er en svindel. På tidspunktet for gjenkjenning, anvendelse av CCB Penger med en ID i Chrome liachincjagnalnmahhaioaogkngbmhf ble 181 av brukeren. Nå app forsvunnet fra butikken.

Produkt som lover en avkastning på 5 prosent på alle dine blockchain transaksjoner. For godt til å være sant.

Jeg studerte koden og funnet det å være ondsinnet atferd. Skadelige utvidelsen er bare interessert i følgende mynter: , , , , , og .

den

Hva tillatelser ber om en utsettelse?

Etter installasjon, extension ber om en skrive-tilgang til en rekke domener, inkludert Github, Exmo, Coinbase, Binance, HitBTC, LocalBitcoins, og andre. Det spør for å få tilgang til alle åpne faner og cookies – disse tillatelsene er ofte misbrukt, stjeler ressurser fra forskjellige børser og lommebøker.

den

Hva gjør det?

For å oppsummere i en setning, utvidelse stjeler all konfidensiell informasjon avhengig av domenet. For eksempel, på Binance det stjeler logg inn data, koder to-faktor-autentisering og CSRF billetter, og forsøker deretter å automatisk trekke mynter.

Se på hvordan dette skjer.

Trinn 1. Tyveri av login-informasjon

Utvidelsen inneholder kode som er aktivert når du trykker på knappen og stjeler skriv inn e-post og passord ved å lagre dem i LocalStorage og sende den til din server, uten å forstyrre den normale prosessen med å exchange.

- Koden som stjeler logge inn informasjon på Binance

Trinn 2. Tyveri koder, to-faktor autentisering

Når du logger deg inn i extension overvåker angi to-faktor-autentisering og venter til skjemaet er sendt. Deretter oversetter koden inn på din server sammen med lagret i LocalStorage e-post og passord fra første trinn.

- Koden, stjele koden to-faktor autentisering ved pålogging

Etter å ha tastet inn extension hver 5 minutter til å be om en kode fra Google Autentisering som vil bli sendt til serveren. Dette gir brukere med onde hensikter flere forsøk, hvis de vil prøve å logge deg på kontoen din og passordet som ble sendt når du logger deg inn.

- kode to-faktor autentisering på Google Binance

Trinn 3. Å stjele CSRF-token og utgang

Når du surfer på Binance din balanse, øke stjeler dine cookie-CSRF-token, og sender det til din server. Så det er en POST-forespørsel til å gripe balansen av mynter, og prøver dem ut.

The Extension stjeler CSRF poletter til å kjøre på dem funksjonen md5() for å gjøre INNLEGGET forespørsel /exchange/privat/yserAssetTransferBtc for å gripe balanse. Etter denne utvidelsen sorterer mynter av verdi og prøver å få dem.

Hvis utvidelsen finner en mynt med en balanse av mer enn 0,01 BTC, som kan vises, det vil ta deg til siden for utgang mynt med høyest verdi vil automatisk fylle ut forespørsel og klikk for å automatisk trekke seg. Det vil også smøre skjermen Binance, sette inn i kroppen av dokumentet, div-elementet og flytte det til forgrunnen og endre tekst koden to-faktor autentisering. Det er nødvendig for å overbevise deg om at du fikk ut av området. Alt dette skjer svært raskt, og du trenger ikke engang merke til at du ble omdirigert fra siden.

Brukeren mener at hans økten er fullført

Brukeren skriver inn koden to-faktor autentisering for å "gjenopprette" økt (ikke vite at han er som bekrefter uttak av mynter til adressen til den angriper), og deretter ba ham om å sjekke e-post. Selvfølgelig, de bruker bare vil motta et brev med bekreftelse på konklusjonen, men hvis han ikke vil lese innholdet i brevet og bare klikk på linken, det vil bekrefte uttak, og start prosessen. Det samme skjer i Coinbase: periodisk kode forespørsler to-faktor-autentisering og tyveri av informasjonskapsler og data entry.

et Eksempel på embedded browser extension former skriv inn koden to-faktor autentisering på Coinbase

Hvis du vil vise konto, utvidelse vil beregne eiendelen med de høyeste kostnadene, så vel som å sende verdien av alle dine eiendeler til serveren din, og prøve å ta ut penger. Det ser ut som dette.

Extension endrer strukturen i output-vinduet for å tvinge brukeren til å skrive inn data (MD5-hash-verdi – mens testing jeg endret det til at kontroll). Under testing jeg hadde 100 pounds, så du forlate 3 prosent.

Dette skjer hver gang en side lastes inn med regnskapet ditt, slikbrukeren kan ved et uhell starte utskriften. Vanskelig. Derfor, utvidelse stjeler din påloggingsinformasjon til exchange og prøver å få deg til å bekrefte overføring av midler til svindlere.

Hvor skal du sende penger?

Angripere har følgende adresser:

• – 16EegrNMdZ9Rxku6Za5neEFjMW57wkQr1s;
• – 0x03b70dc31abf9cf6c1cf80bfeeb322e8d3dbb4ca;
• – 1PCh7w6LdcEv1sWd5wtvkELHcWe5HumUi3;
• – LRPChoyN8qLWENjo1dUjk2bESZjE7bQ6sp;
• – 0x03B70DC31abF9cF6C1cf80bfEEB322e8d3dbb4ca;
• – rGmdGrMjvxt6S3VjF4M78U2YMLPR6XLPsn;
• – 0x4F53C9882Ba87d2D7c525dF2aEF2540efb6e32e5.

Siden lanseringen av utvidelsen i Chrome lagrer 3 Desember 2018 angripere stjal 23,23550279 BTC. Informasjon vil være til stede, forutsatt at disse adressene er brukt bare for denne utvidelsen, og gjennom dem var kun stjålet penger).

Hva er hemmeligheten vi oppdaget?

• adresser av angriperne.
• servere og domener;
• - koden kommentarer i russisk – det er svært sannsynlig at disse er russiske.

Vi også dekket domenet av den eksterne serveren, slik at de som har utvidelsen vil ikke bli ofre. Likevel vil vi oppfordre deg til å fjerne utvidelsen fra nettleseren og endre e-postadressen og passordet i alle cryptoservice brukt.

Utvidelsen ble utført ondsinnede handlinger på følgende plattformer: Exmo, Coinbase, Hbg / Huobi, HitBTC, Binance, LocalBitcoins, Blockchain, og .

Hvordan du kan beskytte deg selv?

• du må Ikke installere ukjente programmer som irriterende forespørsel rettigheter;
• hvis du mistenker noe, så er det sannsynligvis det;
• med jevne mellomrom analysere utvidelser som er installert i nettleseren din, og slette ubrukte;
• hvis nettleser utvidelsen du vil bruke, kan du se etter den versjonen av/alternativ til åpen kildekode eller deaktivere automatiske oppdateringer Chrome store. Sjekk koden eller finne en pålitelig person som kan gjøre det.

Mer data til å søke .