Þessi færsla greinir árásina á Ledger sem dæmi um hvernig spjótveiðar (e. spear phising) leiddu til árásar í hugbúnaðarframboðskeðju (e. software chain chain, SSC) á hugbúnaðartengingartólið sem vélbúnaðarveski fyrirtækisins notuðu, sem gerði aðilanum kleift að tæma fé að minnsta kosti 600,000 Bandaríkjadali.
Þessi árás átti sér stað í lok árs sem einkenndist af atvikum í framboðskeðjunni. Í þessari færslu greinum við árásina, áhrif hennar, hvernig brugðist var við henni og hvaða lærdóma mátti draga af henni.
Ledger og notendur vélbúnaðarveskis hans eru augljós skotmörk netglæpamanna. Veskisþjófar réðust á Ledger-notendur með phishing-tilraunum á notendaviðmótum dulritunarforritanna og glæpamennirnir þurftu að vita notendahnit til að keyra phishing-herferðirnar. Ledger hafði... gagnaleki fyrir júlí 2023 sem og að vera hluti af Gagnaþjófnaður í september 2020 á netverslun þeirra Shopify, atvik sem hafði mikil áhrif. Færslan „Uppfærsla: Viðleitni til að vernda gögnin þín og sækja ruslpóstsendarar til saka„sýnir hversu djúpt þessi brot fóru.“
Ledger þarf að taka öryggi alvarlega (það er lykilhluti af starfsemi þeirra), með innri rannsóknarstofu (donjon) meðhöndlun öryggisvottun tækis, a galla bounty program, öryggistilkynningarog ógnunarlíkön. Hingað til hefur allt gengið vel ...
Hvernig árásin var framkvæmd
Ledger greindi glæp með því að nota Ledger's DApp tengingarbúnaður fimmtudaginn 14. desember 2023. Þessi nýting sprautaði skaðlegum kóða inn í Ethereum-byggð dreifð forrit (DApps) sem notuðu Ledger Connect Kit og blekkti notendur til að undirrita færslur sem tæma veski þeirra.
Árásin var fljótt uppgötvuð og lausn var tekin upp stuttu síðar. Á meðan féllu fáir notendur fyrir árásinni og undirrituðu færslur sem tæmdu veskið þeirra.
Árásin hófst þegar fyrrverandi starfsmaður Ledger varð fórnarlamb netveiðaárásar sem fékk aðgang að NPM reikningi hans/hennar í gegnum setulykilinn. Árásarmennirnir birtu illgjarnar útgáfur af @ledgerhq/tengja-sett (1.1.5, 1.1.6 og 1.1.7, nú hætt starfsemi). Árásarmennirnir gætu keyrt handahófskenndan kóða með sömu heimildum og veskisforritið: árásarmenn geta tæmt fé notenda samstundis án samskipta, dreift fjölmörgum phishing-tenglum til að blekkja notendur eða nýtt sér ótta notenda með því að sannfæra þá um að flytja eignir á nýtt heimilisfang, sem leiðir til eignataps vegna niðurhals á fölsuðu veski.
Veskisforrit (dApps) notuðu venjulega tengibúnaðarhleðslutæki pakka frá Ledger til að hlaða Connect Kit í keyrslutíma frá JavaScript CDN (jsDelivr). Því miður, slóðin https://cdn.jsdelivr.net/npm/@ledgerhq/connect-kit@1 var ekki að festa nákvæma útgáfu (1.1.4 á þeim tíma), svo þegar skaðlegu útgáfurnar voru hlaðið upp voru þær afgreiddar (og vistaðar í skyndiminni) af CDN. Og engin eftirlitsumma var notuð til að tryggja að niðurhalaða úrræðið frá CDN væri í raun það sem búist var við (sem ætti að nota þegar kóða er dreift frá CDN). Þetta eftirlitsummu-byggða kerfi heitir Heilindi undirauðlinda (SRI).
Kóðinn sem sprautað var inn hefur líklega haft áhrif á færslugögn og blekkt notendur til að staðfesta greiðslur sem hafa verið sviknar. Til dæmis gæti notandi sem samþykkir tákngreiðslu til að virkja virkni appsins í staðinn hafa fengið samþykki fyrir greiðslu á netfang tölvuþrjótsins. Sama hversu öruggt vélbúnaðarveskið er, þá tæmdust peningarnir.
Uppgötvun og rannsókn
Mismunandi notendur fóru að senda inn skilaboð í X (einnig þekkt sem Twitter) um að Zapper-viðmótið hefði verið „rænt“. Þökk sé Mathew Lilley, tæknistjóra dulritunarviðskiptafyrirtækisins Sushi, sem fyrst varaði við í ... Twitter staða að „algengt notaður web3 tengill“ hafi verið í hættu. Síðar benti hann á LedgerHQ/tengibúnaður sem hið skemmda bókasafn og gaf fyrstu umsögn, nokkuð hörðlega:
Hvað gerðist?
— Ég er hugbúnaður 🦇🔊 (@MatthewLilley) Desember 14, 2023
Í stuttu máli, @Höfuðbók gerði röð hræðilegra mistaka.
1. Þeir eru að hlaða JS af CDN.
2. Þetta er ekki útgáfa læst af JS.
3. CDN þeirra var í hættu.
Ég myndi forðast að nota ÖLL dApp þar til teymi þeirra staðfesta að þau hafi dregið úr árásinni. https://t.co/a3brXNQSx9
Notandinn 0xViva opnaði miða í GitHub verkefnisgeymslunni: [BRÁÐIÐ] Þessi gagnagrunnur notar skaðlega útgáfu af npm pakkanum @ledgerhq/connect-kit, 1.1.7.
Þann 15. desember 2023 birti öryggisformið SlowMost fyrir blockchain-ið... greiningarpóstur með ítarlegum upplýsingum um skaðlegu útgáfurnar.
Vélbúnaðarveskið Ledger var ekki í hættu, aðeins Ledger Connect Kit. Þar sem mörg forrit nota þetta safn, eins og SushiSwap, Zapper, MetalSwap, Harvest Finance, Revoke.cash o.s.frv., voru áhrifin þó umtalsverð. Samkvæmt bittrace.io, sum fórnarlömb reyndu, úr ótta, að flytja eignir á nýtt heimilisfang en sóttu niður falsa veskisapp!
Sama dag, Jameson Lopp nákvæmlega tweeted um gallana sem gerðu árásinni kleift að takast:
Það hljómar eins og öryggisatvikið í dag hafi verið hápunktur þriggja aðskildra bilana hjá Ledger:
— Jameson Lopp (@lopp) Desember 14, 2023
1. Að hlaða kóða blindandi inn án þess að festa ákveðna útgáfu og eftirlitssummu.
2. Ekki framfylgja „tveggja manna reglum“ varðandi kóðayfirferð og dreifingu.
3. Að afturkalla ekki aðgang fyrrverandi starfsmanna.
Hvernig atvikinu var sinnt
Forstjóri Ledger, Pascal Gauthier, birti sama dag og árásin átti sér stað upplýsingabréf að gefa frekari upplýsingar um atvikið, sem er svo sannarlega gott: Að fela höfuðið í sandinn eins og strúturinn er versta leiðin til að takast á við hvaða netöryggisatvik sem er.
Uppbygging bréfsins er áhugaverð: Það viðurkenndi strax tilvist illgjarnra útgáfa af bókasafninu sem tæmdu peninga, sem er gott (að afneita raunveruleikanum er bull):
„Í dag upplifðum við gagnapakka í Ledger Connect Kit, Javascript bókasafni sem útfærir hnapp sem gerir notendum kleift að tengja Ledger tæki sín við DApps (veskistengdar vefsíður) þriðja aðila.“
Þessi nýting var afleiðing þess að fyrrverandi starfsmaður varð fórnarlamb phishing-árásar, sem gerði ólöglegum aðila kleift að hlaða inn skaðlegri skrá í NPMJS Ledger (pakkastjóra fyrir Javascript kóða sem er deilt milli forrita).
Við unnum hratt, ásamt samstarfsaðila okkar WalletConnect, að því að bregðast við árásinni og uppfærðum NPMJS til að fjarlægja og gera óvirkan skaðlegan kóða innan 40 mínútna frá því að hann uppgötvaðist. Þetta er gott dæmi um hvernig greinin vinnur hratt saman að því að takast á við öryggisáskoranir.
Hvað? Fyrrverandi starfsmaður með útgáfuréttindi fékk ekki afturkölluð aðgangsskilríki sín á NPM?
Forstjórinn taldi síðan upp öryggisráðstafanirnar sem voru í gildi en gaf í skyn að eitthvað væri veikt við aðgang NPM:
„Nú vil ég fjalla um ástæður þessa, hvernig við munum bæta öryggisvenjur okkar til að draga úr þessari tilteknu áhættu í framtíðinni og deila ráðleggingum okkar með greininni, svo við getum verið sterkari saman.“
The standard Venjan hjá Ledger er sú að enginn einn einstaklingur getur sett upp kóða án þess að margir aðilar fari yfir hann. Við höfum sterka aðgangsstýringu, innri yfirferð og fjölundirskriftir kóða þegar kemur að flestum þáttum þróunar okkar. Þetta á við um 99% af innri kerfum okkar. Aðgangur starfsmanna sem hætta störfum er afturkallaður í öllum Ledger kerfum.
Þetta var óheppilegt einangrað atvik. Þetta er áminning um að öryggi er ekki stöðugt og Ledger verður stöðugt að bæta öryggiskerfi og ferla sína. Á þessu sviði mun Ledger innleiða sterkari öryggisráðstafanir, sem tengja saman byggingar okkar. pipeline sem innleiðir stranga software supply chain security til dreifingarrásar NPM."
Jæja, það virtist sem NPM reikningurinn með heimildir til að birta nýjar útgáfur af bókasafninu hefði minna strangar öryggisráðstafanir en aðrir hlutar hugbúnaðarinnviða sinna. Einangrað atvik vegna óheppni?
Endirinn á bréfinu er meira standard kafli um samskipti við yfirvöld, „yfirlýsing um að vera undir stjórn“ og afsökunarbeiðnir:
„Ledger hefur haft samband við yfirvöld og gerir allt sem í okkar valdi stendur til að aðstoða á meðan þessi rannsókn stendur yfir. Ledger mun styðja notendur sem urðu fyrir barðinu á þessu við að finna þennan illvirkja, draga þá fyrir rétt, rekja fjármunina og vinna með löggæslu til að endurheimta stolnar eignir frá tölvuþrjótinum. Við hörmum djúpt atburðina sem áttu sér stað í dag fyrir þá sem urðu fyrir barðinu á þessu.“
Ástandið er nú undir stjórn og ógnin liðin hjá. Við skiljum þá ótta sem þetta olli samfélaginu og vistkerfinu í heild.
Í bréfinu er tímalína sem er mjög góð fyrir notendur til að skilja hvernig atvikið uppgötvaðist, hvaða sérstökum aðgerðum var gripið til við að halda málum í skefjum og hvernig tjónið á notendum sem urðu fyrir barðinu á því verður bætt. Þetta er sá hluti sem er sérstaklega við um myntina:
„Í morgun, að miðtíma Evrópu, varð fyrrverandi starfsmaður Ledger fórnarlamb phishing-árásar sem fékk aðgang að NPMJS reikningi hans. Árásarmaðurinn birti illgjarna útgáfu af Ledger Connect Kit (sem hefur áhrif á útgáfur 1.1.5, 1.1.6 og 1.1.7). Illgjarni kóðinn notaði ólöglegt WalletConnect verkefni til að beina fjármunum í veski tölvuþrjóta.“ Tækni- og öryggisteymi Ledger voru látin vita og lagfæring var framkvæmd innan 40 mínútna frá því að Ledger varð vart við þetta. Illgjarna skráin var virk í um 5 klukkustundir, en við teljum að tíminn þar sem fé var tæmt hafi verið takmarkaður við innan við tvær klukkustundir.Ledger hafði samvinnu við WalletConnect sem gerði ólöglega verkefnið óvirkt fljótt. Ósvikna og staðfesta Ledger Connect Kit útgáfa 1.1.8 er nú í dreifingu og er örugg í notkun.
Fyrir forritara sem eru að þróa og hafa samskipti við Ledger Connect Kit kóðann: Þróunarteymið hjá connect-kit í NPM verkefninu er nú aðeins lesað og getur ekki sent NPM pakkann beint af öryggisástæðum. Við höfum skipt um leyndarmál innbyrðis til að birta á GitHub Ledger. Forritarar, vinsamlegast athugið aftur hvort þið notið nýjustu útgáfuna, 1.1.8.
Bókhaldsbók, ásamt Veski Connect og samstarfsaðilar okkar hafa tilkynnt veskisfang hins ólöglega aðila. Heimilisfangið er nú sýnilegt á Chainalysis. Tether hefur fryst USDT hins illa aðila.“
Samkvæmt þessu var hraðvirkt aðhald þar sem ólöglega WalletConnect verkefnið, sem notað var til að endurbeina fjármunum, var tafarlaust gert óvirkt. En jafnvel með þessu tæmdust sum veski.
Eftirmáli: Hvernig iðnaðurinn brást við
Sumir notendur lýstu reiði sinni yfir Ledger fyrir að hafa ekki komið í veg fyrir málamiðlunina, en aðrir vöruðu við hættunni sem fylgdi því að reiða sig á bókasöfn þriðja aðila.
Netöryggisgeirinn hefur sér sess í netmyntum. Veskisþjófnaðarherferðir eru vel þekktar, þar sem aðallega er notast við phishing-síður til að blekkja notendur. Venjuleg SaaS-viðskipti (Scam-as-a-Service) hafa sérhæfða aðila til að þjófna veski, eins og svikasalar. Inferno Drainer sem tilkynnt um rekstrarstöðvun í nóvember 2023. Þetta virðist samt vera falskt flagg, samkvæmt nýlegri virkni sem sést hefur í Dune's. @scamsnifferÞessi færslu frá Group-IB útskýrði kerfið sem þau fylgja:
Sumir greinendur gáfu vísbendingar um hvað gerði árásina ekki mögulega. athugasemd eftir notanda brianddk í miðanum í geymslu verkefnisins gefur okkur innsýn í rót vandans:
A athugasemd frá öðrum notanda, HenryQW, benti á annað atriðið sem gerði illgjarnar útgáfur kleift að dreifa sér í gegnum CDN:
Það er of snemmt að sjá langtímaátak til að gera notendaviðmót dulritunarveskis sterkari gegn phishing-árásum. Það lítur út fyrir að það þurfi að fylgja reglum. standard svipað og það sem PA-DSS Fyrir hugbúnaðarframleiðendur greiðsluforrita gæti þetta verið velkomið í dulritunariðnaðinum.
Og nú, lærdómur!
Það er ótrúlegt hvernig vélbúnaðarveski, ímynd dulritunaröryggis, var brotið einfaldlega með því að grafa undan aðgangi að NPM innskráningarupplýsingum „fyrrverandi starfsmanns“ Ledger (líklega notandanafn/lykilorð án 2FA-varna eða aðgangslykils). Þetta atvik er sláandi áminning um að þegar þú ert undir árásum þarf að vernda hugbúnaðarinnviði þína með sömu varúð og hugbúnað eða vélbúnað.
Flestar árásir á hugbúnaðarframboðskeðjuna byrja með því að brjóta innri aðgang (oft hjá forritara eða þróunarverkfræðingi). Árásarmennirnir ráðast síðan annað hvort til hliðar til að brjótast inn í innri kerfi hugbúnaðarinnviðanna eins og... CI/CD kerfi eða dreifingartól, eða tekst að bæta við illgjörnum rökum í frumkóðageymslur, sem gæti verið greint ef rétt meðhöndlun breytinga með útibúsvernd og kóðayfirferðum er til staðar. En árásarmenn þurfa ekki að kafa svona djúpt þegar skotmarkið er vinsælt bókasafn sem er birt í opinberri skrá, sérstaklega ef þeir geta fengið aðgang að birtingar- (skrif-)upplýsingum. Og þetta er það sem gerðist í þessari árás.
2FA auðkenning, sérstaklega með því að nota öfluga þætti eins og öryggislykla, er áhættunni takmarkað með gagnvirkum aðgerðum. CI/CD pipelines, aðgangsmerki með takmarkaðan aðgang geymd sem CI/CD Leyndarmál er venjulega leiðin (og aðgangslykillinn ætti ekki að leka). Því miður virðist sem starfsmaðurinn hafi ekki haft öflugt 2FA stillingarkerfi. NPM leyfir stofnanir til að framfylgja 2FA (en þetta er valfrjálst, ekki sjálfgefið), sem er líklega það sem Ledger ætti að hafa. Og ekki gleyma að bæta við viðeigandi afturköllun skilríkja verklagsreglur fyrir fyrrverandi starfsmenn, sérstaklega þar sem aðgangur að eins mikilvægum auðlindum og umfangi NPM í eigu stofnunarinnar er mikilvægur.
Útgáfufesting fyrir ósjálfstæði með endurskoðaðri útgáfuhækkun er aðferð sem dregur úr útbreiðslu illgjarnra ósjálfstæði. Í samhengi við Ledger-atvikið voru útgáfur bókasafnsins sem tengibúnaðarhleðslutæki tók frá CDN hefði átt að vera fest og „ekki treysta því sem CDN kastar“. Að hafa staðfesting á eftirlitssummu t.d. ætti að nota SRI (eða jafnvel stafræna undirskriftaraðferð sem einnig staðfestir upprunann) þegar sótt er úr CDN fyrir kraftmikla kóðahleðslu.
Restin er saga.
Þegar kemur að hefðbundnari phishing-herferðum sem beinast að notendum veskis er spurningin: Hvað fær notendur til að falla í gildrur sem glæpamenn setja og til að staðfesta færslur sem þeir ætluðu sér aldrei að framkvæma? Phishing-síðurnar á þessu sviði eru vel hannaðar og sannfærandi, herma eftir vinsælum dulritunarvörumerkjum; og þær bjóða einnig upp á ókeypis tákn, að slá NFT-skjöl og önnur umbun. Að koma í veg fyrir að notendur falli í slíkar gildrur er vandamál sem þarfnast lausnar.
Og að ekki gleyma það sem tengist dulritunarárásir árásir, almennari ógn, þar sem andstæðingarnir taka yfir skýjainnviði til að reka námuverkamenn fyrir dulritunargjaldmiðla, oft fyrir friðhelgismynt eins og Monero XMR og Zcash, með falinni viðskiptasögu. Dulritunarþjófnaður er viðeigandi vegna þess að hann getur haft áhrif á ÖLL fyrirtæki, og þó að hagnaður árásarmannsins geti verið lítill, gæti kostnaðurinn fyrir fórnarlambið verið mikill (Sysdig nefndi í Þessi skýrsla að það kostar fórnarlambið 53 dollara fyrir hvern dollar sem er grafinn fyrir árásarmanninn).
Heimildir
- Miði[BRÁÐANLEGT] Þessi gagnagrunnur notar skaðlega útgáfu af npm pakkanum @ledgerhq/connect-kit, 1.1.7.„í Github geymslunni.“
- Bréf frá forstjóra Ledger um atvikið, 14. des. 2023.
- Skýrsla um öryggisatvik, eftir Ledger, 20. des. 2023.
- Hagnýting bókhalds ógnar DeFi; Sushi segir „Ekki hafa samskipti við nein dApp“, færsla í CoinDesk eftir Oliver Knight, 14 Dec 2023.
- Árás á Ledger Connect Kit í framboðskeðju: Greining á áhrifum og fyrirbyggjandi aðgerðirFærsla eftir SlowMist um árásina, desember 2023.
- Öryggishugtök Web3: Veskisnotkun, eftir Jammel Weaver, í Rektify AI, júlí 2023.
Horfðu á kynningarmyndbandið okkar
