Niebezpieczne dla rozszerzenia przeglądarki, lub Jak łatwo stracić swoje криптовалюты?

Jesteśmy okresowo przypominamy, jak prawidłowo криптовалюты, nie dać się złapać na sztuczki i w ogóle nie stracić swoje cenne monety. Metody oszustów rozwijają się z roku na rok i teraz niektóre z nich są tak sprytnie i są maskowane, że nawet technicznie подкованному użytkownikowi trudno rozpoznać niebezpieczeństwo. Dzisiaj szczegółowo badać temat szkodliwych rozszerzeń do przeglądarek. Wydawałoby się, powinny one ułatwić życie, ale często robią tylko gorzej.

Poniżej tłumaczenie artykułu użytkownika Harry .

Nie instaluj wszystko

Niedawno natknąłem się na projekt, обещающий cashback z każdej transakcji, w tym transakcji na scentralizowane giełdach. Aby uzyskać z powrotem 5 procent, wystarczy zainstalować rozszerzenie do przeglądarki. Jeśli oferta brzmi zbyt dobrze, aby mogło być prawdziwe, to prawdopodobnie jest to oszustwo. W momencie wystąpienia u aplikacji CCB Cash z ID w Chrome liachincjagnalnmahhaioaogkngbmhf został 181 użytkownik. Teraz aplikacja zniknęło ze sklepu.

Produkt, обещающий zwrot 5 procent ze wszystkich swoich блокчейн transakcji. Zbyt dobrze, aby mogło być prawdziwe.

Przejrzałem kod i odkrył w nim zrobiony w złej intencji zachowanie. Złośliwe rozszerzenie jest zainteresowany tylko w takich monetach: , , , , , i .

Jakie uprawnienia prosi o rozszerzenie?

Po zainstalowaniu rozszerzenia prosi o dostęp z prawem zapisu do różnych domen, w tym Github, Exmo, Coinbase, Binance, HitBTC, LocalBitcoins i innych. Ja chce mieć dostęp do wszystkich otwartych kart i do państwa pliki cookie – te zezwolenia często nadużywają, kradzież swoje aktywa z różnych giełd i torebki.

Co to robi?

Jeśli podsumować jednym zdaniem, to rozszerzenie kradnie całą poufnych informacji, w zależności od domeny. Na przykład, na Binance ono porywa dane logowania, kody uwierzytelniania dwuskładnikowego i CSRF-żetony, po czym próbuje automatycznie wyświetlić monety.

Przyjrzyjmy się, jak to się dzieje.

Krok 1. Kradzież danych logowania

Rozszerzenie zawiera kod, który jest uruchamiany po naciśnięciu na przycisk logowania i porywa wpisujesz e-mail i hasło, utrzymując je w LocalStorage i wysyłając na serwer bez naruszenia normalnego procesu wejścia na giełdę.

Kod похищающий dane logowania na Binance

Krok 2. Kradzież kodów uwierzytelniania dwuskładnikowego

Kiedy dokonujesz wejście, rozszerzenie monitoruje wejście dwuskładnikowego uwierzytelniania i czeka, dopóki formularz nie zostanie wysłany. Wtedy to przekłada się wprowadzony kod na serwer wraz z przechowywanymi w LocalStorage mail i hasła z pierwszego kroku.

Kod похищающий kod dwuskładnikowego uwierzytelniania podczas logowania

Po zalogowaniu rozszerzenie co 5 minut będzie poprosić cię o kod Google Authenticator, który zostanie wysłany na serwer. To daje cyberprzestępcom więcej prób, jeśli będzie próbował zalogować się na twoje konto i nie zagrają kod, który wybierał się przy wejściu.

Żądanie kodu uwierzytelniania dwuskładnikowego Google na Binance

Krok 3. Kradzież CSRF-token i wnioski

Kiedy przeglądasz się w Binance równowagę, rozszerzenie porywa z danego pliku cookies CSRF-token i odsyła go na swój serwer. Po to ono sprawia, że POST-żądanie, aby zapanować nad równowagą monet, i stara się dyskretnie je wydobyć.

Rozszerzenie porywa CSRF-żetony, aby wykonać nad nimi funkcji md5() i zrobić POST-żądanie /exchange/private/yserAssetTransferBtc do wykorzystania twojego konta. Po tym rozszerzenie sortuje monety wartości i stara się je wydobyć.

Jeśli rozszerzenie wykrywa monetę z bilansem więcej 0.01 BTC, którą można wypłacić, to przeniesie cię na stronę wyjścia monety z najwyższą wartością, automatycznie wypełni wniosek na wniosek i kliknie przycisk automatycznego wyjścia. Ja także załatwi ekran Binance, wkładając w ciało dokumentu element div, drukując go na wierzch i zmieniając tekst potwierdzenia kodu uwierzytelniania dwuskładnikowego. Jest to potrzebne, aby przekonać się, że wyszedł pan z serwisu. Wszystko to dzieje się bardzo szybko, a ty nawet nie zauważysz, że to było przekierowanie ze strony.

Użytkownik wierzy, że jego sesja zakończona

Następnie użytkownik wprowadza kod uwierzytelniania dwuskładnikowego, aby "odzyskać" sesję (nie wiedząc, że on potwierdza wycofanie monet na adres intruza), po czym został o to poproszony sprawdzić pocztę. Oczywiście, użytkownik otrzyma tylko maila z potwierdzeniem wyjścia, ale jeśli on nie będzie czytać treść listu i po prostu kliknie na link, to potwierdzi wyjście i uruchomi proces. To samo dzieje się na Coinbase: powtarzające się żądania kodu uwierzytelniania dwuskładnikowego i porwanie plików cookie i danych logowania.

Przykład wdrożonego rozszerzeniem dla przeglądarki formy wprowadzania kodu uwierzytelniania dwuskładnikowego na Coinbase

Jeśli będziesz przeglądać faktury, rozszerzenie obliczy idź do najwyższej wartości, również wysyłając koszt wszystkich swoich aktywów na swój serwer i próbuje wypłacić środki. Wygląda to tak.

Rozszerzenie zmienia strukturę okna wyjściowego, aby zmusić użytkownika wprowadzić te dane (wartość hash MD5 – podczas testów zmieniłem go na taki, który kontroluję). Podczas testów miałem 100 funtów, więc pozostawiają 3 proc.

To się dzieje przy każdym załadowaniu strony z kontami, więcużytkownik może przypadkowo uruchomić wyjście. Chytrze. W ten sposób rozszerzenie porywa twoje dane wejścia na giełdę i stara się, by potwierdzić przelew środków cyberprzestępcy.

Gdzie idą pieniądze?

Cyberprzestępcy mają następujące adresy:

• – 16EegrNMdZ9Rxku6Za5neEFjMW57wkQr1s;
• – 0x03b70dc31abf9cf6c1cf80bfeeb322e8d3dbb4ca;
• – 1PCh7w6LdcEv1sWd5wtvkELHcWe5HumUi3;
• – LRPChoyN8qLWENjo1dUjk2bESZjE7bQ6sp;
• – 0x03B70DC31abF9cF6C1cf80bfEEB322e8d3dbb4ca;
• – rGmdGrMjvxt6S3VjF4M78U2YMLPR6XLPsn;
• – 0x4F53C9882Ba87d2D7c525dF2aEF2540efb6e32e5.

Od czasu uruchomienia rozszerzenia w sklepie Chrome 3 grudnia 2018 roku cyberprzestępcy ukradli 23,23550279 BTC. Info będzie prawdziwe, jeśli założyć, że te adresy są używane tylko dla tego rozszerzenia, i przez nich odbywały się tylko to może mieć związek środki).

Jakie tajemnice odkryliśmy?

• adresy intruzów;
• serwery i domeny;
• komentarze do kodu w języku polskim – bardzo prawdopodobne, że stoją za tym rosjanie.

Jesteśmy również zamknęli domena serwera intruzów, więc ci, którzy zainstalowane rozszerzenia, więcej nie staną się jego ofiarami. Ale mimo wszystko zachęcam usunąć rozszerzenie z przeglądarki i zmienić mail oraz hasła we wszystkich криптосервисах, których używasz.

Rozszerzenie pełnił szkodliwe działania na następujących platformach: Exmo, Coinbase, Hbg / Huobi, HitBTC, Binance, LocalBitcoins, Blockchain, i .

Jak zabezpieczyć się?

• Nie instalujesz dziwne programy, które natarczywie domagają się prawa dostępu;
• jeśli coś podejrzewasz, to prawdopodobnie tak jest;
• regularnie analizuj rozszerzenia, które są zainstalowane w przeglądarce, i usuwaj nieużywane;
• jeśli w przeglądarce jest rozszerzenie, którego używasz, poszukaj wersji/alternatywę open source lub wyłącz automatyczne aktualizacje ze sklepu Chrome. Sprawdź kod lub znajdź zaufanego człowieka, który będzie w stanie to zrobić.

Więcej informacji szukajcie w .