Hot tillägg till webbläsaren, eller Hur lätt det är att förlora din cryptocurrency?

Vi med jämna mellanrum påminna dig om hur cryptocurrencies inte falla för tricks och i regel inte att förlora sina omhuldade mynt. Metoder för bedragare utvecklas från år till år och nu har några av dem är så skickligt förklädd och att även tekniskt kunniga användaren har svårt att känna igen fara. Idag kommer vi att studera temat för skadlig tillägg till webbläsare. Det verkar som om de ska göra livet enklare, men ofta gör det värre.

Nedan är en översättning av artikeln användaren Harry på .

att installera allt

Jag har Nyligen snubblat på ett projekt som lovar cashback på varje transaktion, inklusive handeln på centraliserad utbyte. För att komma tillbaka till 5 procent, tillräckligt för att installera ett webbläsartillägg. Om erbjudandet låter för bra för att vara sant, då är chansen att det är ett bedrägeri. Vid tiden för upptäckt, tillämpningen av CCB Kontanter med ett ID i Chrome liachincjagnalnmahhaioaogkngbmhf var 181 av användaren. Nu app försvann från butiken.

- Produkt som lovar en avkastning på 5 procent på alla dina blockchain transaktioner. För bra för att vara sant.

Jag studerade koden och funnit det vara skadligt beteende. Skadliga förlängning är bara intresserad av följande mynt: , , , , , och .

den

Vad behörigheter begär en förlängning?

Efter installationen förlängning begär skriva tillgång till en mängd områden, inklusive Github, Exmo, Coinbase, Binance, HitBTC, LocalBitcoins, och andra. Det frågar för att få tillgång till alla öppna flikar och dina cookies – dessa tillstånd är ofta missbrukas, att stjäla dina tillgångar från olika utbyten och plånböcker.

den

Vad gör det?

För att sammanfatta i en mening, förlängning stjäl alla dina konfidentiella information beroende på domän. Till exempel, om Binance det stjäl logga in data, koder två-faktor autentisering och CSRF-tokens, och sedan försöker att automatiskt återkalla mynt.

Titta på hur detta sker.

Steg 1. Stöld av login-information

Förlängningen innehåller kod som aktiveras när du trycker på knappen och stjäl ange e-post och lösenord genom att lagra dem i LocalStorage och skicka den till din server utan att det stör den normala processen för att komma in på börsen.

- Kod som stjäl inloggningsuppgifter på Binance

Steg 2. Stöld koder, två-faktor autentisering

När du loggar in på förlängningen övervakar input två-faktor autentisering och väntar tills formuläret är skickat. Då är det översätter koden på din server tillsammans med lagrade i LocalStorage e-post och lösenord från det första steget.

- Kod, stjäla kod två-faktor autentisering vid inloggning

När du har angett förlängning var 5 minuter att begära en kod från Google Authenticator som kommer att skickas till servern. Detta ger illvilliga användare att göra fler försök, om de kommer att försöka logga in på ditt konto och lösenord som skickades när du loggar in.

- kodsbegäran två-faktor autentisering på Google Binance

Steg 3. Att stjäla CSRF-token och utgång

När du surfar på Binance din balans, öka stjäl dina cookie-CSRF-token och skickar det till din server. Så det är en POST-begäran för att ta tillvara den balans av mynt, och försöka dem.

Förlängningen stjäl CSRF-token för att utföra på dem den funktion md5() för att göra en POST-begäran /exchange/privat/yserAssetTransferBtc för att ta vara på ditt saldo. Efter denna förlängning sorters mynt i värde och försöka ta dem.

Om förlängning hittar ett mynt med en balans av mer än 0,01 BTC, som kan visas, kommer det att ta dig till sidan utgång myntet med det högsta värdet kommer automatiskt att fylla i ansökan och klicka för att automatiskt dra sig tillbaka. Det kommer också att smeta på skärmen Binance, in i kroppen av dokumentet, div-element, flytta den till förgrunden och ändra sms: a, ange kod två-faktor autentisering. Det är nödvändigt för att övertyga dig om att du fick ut av webbplatsen. Allt detta sker mycket snabbt, och du behöver inte ens märka att du var omdirigerad från sidan.

Användaren anser att hans session är klar

Det användaren skriver in koden två-faktor autentisering för att "återställa" den session (utan att veta att han är som bekräftar uttag av mynt till adress angriparen), och sedan bad honom att kontrollera e-post. Naturligtvis kommer användaren endast att få ett brev med en bekräftelse av den slutsats, men om han inte kommer att läsa innehållet i skrivelsen och bara klicka på länken, kommer det att bekräfta uttag och starta processen. Samma sak händer i Coinbase: periodisk kod begär två-faktor autentisering och stöld av cookies och inmatning av data.

ett Exempel på inbyggda webbläsaren förlängning former ange koden två-faktor autentisering på Coinbase

Om du läser konto, förlängningen kommer att beräkna tillgången med de högsta kostnaderna, samt att skicka värdet av alla dina tillgångar till din server, och försöka att ta ut pengar. Det ser ut så här.

Tillägget ändrar strukturen på output-fönstret för att tvinga användaren att mata in data (MD5-hash-värde – när vi testade jag ändrade det till att kontroll). Under testet hade jag 100 kilo, så du lämnar 3 procent.

Detta sker varje gång en sida laddas med dina konton, såanvändaren av misstag kan starta produktionen. Knepig. Därför förlängning stjäl dina inloggningsuppgifter till börsen och försöker få dig att bekräfta överföringen av medel till bedragare.

Om vill du skicka pengar?

Angriparna har följande adresser:

• – 16EegrNMdZ9Rxku6Za5neEFjMW57wkQr1s;
• – 0x03b70dc31abf9cf6c1cf80bfeeb322e8d3dbb4ca;
• – 1PCh7w6LdcEv1sWd5wtvkELHcWe5HumUi3;
• – LRPChoyN8qLWENjo1dUjk2bESZjE7bQ6sp;
• – 0x03B70DC31abF9cF6C1cf80bfEEB322e8d3dbb4ca;
• – rGmdGrMjvxt6S3VjF4M78U2YMLPR6XLPsn;
• – 0x4F53C9882Ba87d2D7c525dF2aEF2540efb6e32e5.

Sedan lanseringen av tillägget i Chrome store 3 Dec 2018 angriparna stal 23,23550279 BTC. Information kommer att vara sant, förutsatt att dessa adresser används endast för denna expansion, och genom dem var bara stulna medel).

Vad finns det för hemligheter upptäckte vi?

• - adresser av angriparna.
• - servrar och domäner;
• - koden kommentarer på ryska – det är mycket troligt att dessa är ryska.

Vi också omfattas området av fjärr-server, så att de som har filändelsen kommer inte att bli offer. Men vi uppmuntrar er att ta bort tillägget från webbläsaren och ändra e-postadress och lösenord i alla cryptoservice användas.

Den Utvidgning utfördes skadliga åtgärder på följande plattformar: Exmo, Coinbase, Hbg / Huobi, HitBTC, Binance, LocalBitcoins, Blockchain, och .

Hur kan man skydda sig?

• installera Inte okända program som irriterande begäran få rättigheter.
• om du misstänker något, så är det förmodligen det.
• för att regelbundet analysera de tillägg som är installerade i din webbläsare och ta bort oanvända.
• om tillägg till webbläsaren som du använder, se för den version av/alternativ till öppen källkod eller inaktivera automatiska uppdateringar Chrome store. Kontrollera koden, eller att hitta en pålitlig person som kan göra det.

Mer data att söka för .