Дар ин паём ҳамла ба Ledger ҳамчун мисоли он таҳлил карда мешавад, ки чӣ гуна як фишинги пинҳонӣ боиси ҳамлаи занҷираи таъминоти нармафзор (SSC) ба асбоби пайвасткунии нармафзор, ки ҳамёнҳои сахтафзори ширкат истифода мекарданд, гардид ва ба ин ширкат имкон дод, ки ҳадди аққал 600 000 доллар пулро аз даст диҳад.
Ин ҳамла дар охири сол бо ҳодисаҳои занҷираи таъминот рух дод. Дар ин мақола мо ҳамла, таъсири он, тарзи ҳалли он ва чӣ дарсҳоро метавон ба даст овард, таҳлил мекунем.
Леджер ва корбарони ҳамёни сахтафзори ӯ ҳадафҳои возеҳи киберҷинояткорон мебошанд. Корбарони ҳамён тавассути кӯшишҳои фишинг дар фронтендҳои барномаҳои криптографӣ ба корбарони Леджер ҳамла мекарданд ва ҷинояткорон бояд координатаҳои корбаронро донанд, то маъракаҳои фишингро роҳандозӣ кунанд. Леджер дошт ихроҷи маълумот то июли соли 2023 инчунин қисми он будан Дуздии маълумот дар моҳи сентябри соли 2020 дар бораи тиҷорати электронии онҳо дар Shopify, як ҳодисае бо таъсири калон. Паёми "Навсозӣ: Кӯшишҳо барои ҳифзи маълумоти шумо ва таъқиби спаммерҳо"нишон медиҳад, ки ин вайронкуниҳо то чӣ андоза амиқ рафтаанд."
Ширкати Ledger бояд ба амният ҷиддӣ муносибат кунад (ин қисми муҳими тиҷорати онҳост), бо як лабораторияи тадқиқотии дохилӣ (дончон) коркард сертификатсияи амнияти дастгоҳ, як тӯҳфаҳо барнома, бюллетенҳои амниятӣва моделсозии таҳдид. То ҳоло ҳамааш хуб …
Чӣ гуна ҳамла анҷом дода шуд
Ledger бо истифода аз Ledger як истисморро ошкор кард Маҷмӯаи пайвастшавии DApp Рӯзи панҷшанбе, 14 декабри соли 2023. Ин сӯиистифода рамзи зарароварро ба барномаҳои ғайримарказикунонидашудаи Ethereum (DApps), ки аз Ledger Connect Kit истифода мекарданд, ворид кард ва корбаронро фиреб дод, ки ба имзои муомилоте, ки ҳамёнҳои онҳоро холӣ мекунад, водор созанд.
Ин сӯиистифода зуд ошкор карда шуд ва пас аз муддате ҳалли он амалӣ карда шуд. Дар ҳамин ҳол, шумораи ками корбарон ба ҳамла дучор шуданд ва муомилотеро имзо карданд, ки ҳамёни онҳоро холӣ мекард.
Ҳамла замоне оғоз шуд, ки як корманди собиқи Ledger қурбонии ҳамлаи фишинг шуд, ки тавассути токени сессия ба ҳисоби NPM-и ӯ дастрасӣ пайдо кард. Ҳамлагарон версияҳои зараровари ин барномаро нашр карданд. @ledgerhq/connect-kit (1.1.5, 1.1.6 ва 1.1.7, ҳоло аз кор бароварда шудааст). Ҳамлагарон метавонанд рамзи худсаронаро бо ҳамон сатҳи иҷозатҳое, ки барномаи ҳамён дорад, иҷро кунанд: ҳамлагарон метавонанд фавран маблағҳои корбаронро бе муошират холӣ кунанд, истинодҳои зиёди фишингиро барои фиреб додани корбарон паҳн кунанд ё аз воҳимаи корбарон бо бовар кунонидани онҳо ба интиқоли дороиҳо ба суроғаи нав истифода баранд, ки дар натиҷа аз даст додани дороиҳо аз ҳисоби зеркашии ҳамёни қалбакӣ ба амал меояд.
Фронтендҳои ҳамён (dApps) одатан аз ин истифода мекарданд боркунаки пайвасткунӣ баста аз Ledger барои бор кардани Connect Kit дар вақти иҷро аз CDN-и JavaScript (jsDelivr). Мутаассифона, URL https://cdn.jsdelivr.net/npm/@ledgerhq/connect-kit@1 версияи дақиқро (дар он вақт 1.1.4) пин намекард, аз ин рӯ, вақте ки версияҳои зараровар бор карда шуданд, онҳо аз ҷониби CDN хидмат (ва кэш) гирифта шуданд. Ва барои боварӣ ҳосил кардан аз он, ки захираи зеркашишуда аз CDN воқеан захираи интизорӣ буд (ки бояд ҳангоми паҳн кардани рамз аз CDN истифода шавад), ягон санҷиши чекӣ истифода нашуд. Ин схемаи бар асоси санҷиши чекӣ номгузорӣ шудааст Якпорчагии зермаблағ (SRI).
Коди воридшуда эҳтимол маълумоти муомилотро тағйир дода, корбаронро фиреб дода, пардохтҳои тағйирёфтаро тасдиқ кардааст. Масалан, корбаре, ки пардохти токенро барои фаъол кардани функсияҳои барнома тасдиқ мекунад, метавонад тасдиқи пардохтро ба суроғаи ҳакер дида бошад. Новобаста аз он ки ҳамёни сахтафзор то чӣ андоза бехатар аст, пулҳо холӣ мешуданд.
Кашф ва тафтишот
Истифодабарандагони гуногун дар X (яъне Twitter) паёмҳоеро нашр кардан гирифтанд, ки фронтенди Zapper "рабуда шудааст". Эътибор ба Мэтью Лилли, директори техникии криптотрейдери Sushi дода мешавад, ки аввалин шуда дар ... огоҳӣ дод. Twitter овехтани ки "пайвасткунандаи веб3-и маъмулан истифодашаванда" осеб дидааст. Баъдтар ӯ ба LedgerHQ/маҷмӯаи пайвастшавӣ ҳамчун китобхонаи осебдида ва арзёбии аввалияро каме дағалона дод:
Чӣ гап шуд?
— Ман нармафзор ҳастам 🦇🔊 (@MatthewLilley) Декабри соли 14, 2023
Кӯтоҳаш, @Ledger занҷири хатоҳои даҳшатнок содир кард.
1. Онҳо JS-ро аз CDN бор мекунанд.
2. Онҳо версияи қулфкунии JS-и боршуда нестанд.
3. CDN-и онҳо зери хатар қарор гирифт.
Ман аз истифодаи ҲАР ГУНА dApps то он даме, ки дастаҳояшон тасдиқ накунанд, ки ҳамларо коҳиш додаанд, худдорӣ мекунам. https://t.co/a3brXNQSx9
Корбар 0xViva дар анбори лоиҳаи GitHub чипта кушод: [ТАЪҶИЛӢ] Ин анбор аз версияи зараровари бастаи npm @ledgerhq/connect-kit, 1.1.7 истифода мебарад..
15 декабри соли 2023 шакли амниятии blockchain SlowMost нашр кард... паёми таҳлилӣ маълумоти пурраи версияҳои зарароварро пешниҳод мекунад.
Ҳамёни сахтафзори Ledger осеб надидааст, танҳо маҷмӯаи Ledger Connect осеб дидааст. Аммо, азбаски бисёр барномаҳо, ба монанди SushiSwap, Zapper, MetalSwap, Harvest Finance, Revoke.cash ва ғайра, аз ин китобхона истифода мебаранд, доираи таъсир назаррас буд. Тибқи bittrace.io, баъзе қурбониён аз воҳима кӯшиш карданд, ки дороиҳоро ба суроғаи нав интиқол диҳанд, аммо барномаи қалбакии ҳамёнро зеркашӣ карданд!
Дар ҳамон рӯз, Ҷеймсон Лопп дақиқ tweeted дар бораи камбудиҳое, ки ба муваффақияти ҳамла мусоидат карданд:
Чунин ба назар мерасад, ки ҳодисаи имрӯзаи амниятӣ натиҷаи се нокомии алоҳида дар Ledger буд:
— Ҷеймсон Лопп (@lopp) Декабри соли 14, 2023
1. Боркунии нобиноёнаи код бидуни пин кардани версияи мушаххас ва маблағи санҷишӣ.
2. Риоя накардани "қоидаҳои 2-нафара" дар мавриди баррасӣ ва ҷойгиркунии код.
3. Бекор накардани дастрасии корманди собиқ.
Чӣ гуна ин ҳодиса ҳал шуд
Паскал Готье, директори генералии Ledger, дар ҳамон рӯзи ҳамла нашр кард номаи ошкоркунӣ додани тафсилоти бештар дар бораи ин ҳодиса, ки бешубҳа хуб аст: Пинҳон кардани сар дар рег мисли шутурмурғ бадтарин роҳи ҳалли ҳама гуна ҳодисаи амнияти киберӣ аст.
Сохтори нома ҷолиб аст: Он фавран мавҷудияти версияҳои зараровари аз даст додани пул аз ҷониби китобхонаро эътироф кард, ки ин хуб аст (инкор кардани воқеият бемаънӣ аст):
«Имрӯз мо бо як хатогӣ дар Ledger Connect Kit, китобхонаи Javascript, дучор шудем, ки тугмаеро истифода мебарад, ки ба корбарон имкон медиҳад дастгоҳи Ledger-и худро ба DApp-ҳои тарафи сеюм (вебсайтҳои ба ҳамён пайвастшуда) пайваст кунанд.»
Ин сӯиистифода натиҷаи қурбонии ҳамлаи фишинг аз ҷониби як корманди собиқ буд, ки ба як амали бад имкон дод, ки файли зарароварро ба NPMJS-и Ledger (менеҷери бастаҳо барои рамзи Javascript, ки байни барномаҳо мубодила мешавад) бор кунад.
Мо дар якҷоягӣ бо шарики худ WalletConnect барои бартараф кардани ин сӯиистифода зуд кор кардем ва NPMJS-ро навсозӣ кардем, то рамзи зарароварро дар давоми 40 дақиқа пас аз ошкор кардан нест ва ғайрифаъол созем. Ин мисоли хуби ҳамкории босуръати соҳа барои ҳалли мушкилоти амниятӣ аст.”
Чӣ? Оё корманди собиқе, ки ҳуқуқи нашр дошт, ваколатномаи ӯ дар NPM бекор карда нашуда буд?
Сипас директори генералӣ чораҳои назорати амниятии мавҷударо номбар кард, аммо ишора кард, ки дар дастрасии NPM чизе заиф аст:
"Ҳоло ман мехоҳам ба шумо дар бораи сабаби ин ҳодиса, чӣ гуна мо амалияҳои амниятии худро барои коҳиш додани ин хатари мушаххас дар оянда беҳтар хоҳем кард ва тавсияҳои худро бо соҳа мубодила кунам, то мо якҷоя қавитар бошем."
Дар standard Амалияи Ledger ин аст, ки ҳеҷ як шахс наметавонад рамзро бидуни баррасии якчанд ҷониб истифода барад. Мо дар аксари қисматҳои таҳияи худ назорати қавии дастрасӣ, баррасиҳои дохилӣ ва имзоҳои сершумори рамзро дорем. Ин ҳолат дар 99% системаҳои дохилии мост. Ҳар як корманде, ки ширкатро тарк мекунад, дастрасии ӯ аз ҳар як системаи Ledger бекор карда мешавад.
Ин як ҳодисаи нохуши ҷудогона буд. Ин хотиррасон мекунад, ки амният статикӣ нест ва Ledger бояд системаҳо ва равандҳои амниятии моро пайваста такмил диҳад. Дар ин самт, Ledger назорати қавитари амниятиро ҷорӣ хоҳад кард ва сохтори моро пайваст хоҳад кард. pipeline ки қатъиян амал мекунад software supply chain security ба канали тақсимоти NPM."
Хуб, ба назар чунин менамуд, ки ҳисоби NPM бо иҷозати нашри версияҳои нави китобхона нисбат ба дигар қисмҳои инфрасохтори нармафзори онҳо назорати амниятии камтар сахтгиртар дошт. Ҳодисаи танҳо аз сабаби бадбахтӣ?
Анҷоми нома бештар аст standard бахши ҳамкорӣ бо мақомот, изҳороти "таҳти назорат" ва узрхоҳӣ:
«Ширкати Ledger бо мақомот ҳамкорӣ кардааст ва ҳар кори аз дастамон меомадаро мекунад, то дар рафти тафтишот кумак кунад. Ledger ба корбарони зарардида дар ёфтани ин амали бад, ба ҷавобгарӣ кашидани онҳо, пайгирии маблағҳо ва ҳамкорӣ бо мақомоти ҳифзи ҳуқуқ барои баргардонидани дороиҳои дуздидашуда аз ҳакер кумак хоҳад кард. Мо аз рӯйдодҳое, ки имрӯз барои афроди зарардида рух доданд, сахт пушаймонем.»
Вазъият ҳоло таҳти назорат аст ва таҳдид аз байн рафтааст. Мо дарк мекунем, ки ин воҳима барои ҷомеа ва экосистемаи васеътар ба вуҷуд омадааст."
Дар нома ҷадвали вақт замима карда шудааст, ки барои корбарон хеле хуб аст, то бифаҳманд, ки чӣ гуна ҳодиса ошкор шудааст, кадом чораҳои мушаххаси пешгирӣ ва бартарафсозӣ андешида шудаанд ва чӣ гуна зарари расонидашуда ба корбарони зарардида барқарор карда мешавад/ҷуброн карда мешавад. Ин қисмати бештар ба танга хос аст:
"Имрӯз субҳ CET, як корманди собиқи Ledger қурбонии ҳамлаи фишинг шуд, ки ба ҳисоби NPMJS-и ӯ дастрасӣ пайдо кард. Ҳамлагар версияи зараровари Ledger Connect Kit-ро нашр кард (ки ба версияҳои 1.1.5, 1.1.6 ва 1.1.7 таъсир мерасонд). Коди зараровар аз лоиҳаи қаллобии WalletConnect барои равона кардани маблағҳо ба ҳамёни ҳакер истифода бурд." Гурӯҳҳои технологӣ ва амниятии Ledger огоҳ карда шуданд ва дар давоми 40 дақиқа пас аз огоҳ шудани Ledger ислоҳи он анҷом дода шуд. Файли зараровар тақрибан 5 соат фаъол буд, аммо мо боварӣ дорем, ки мӯҳлати аз даст додани маблағҳо бо мӯҳлати камтар аз ду соат маҳдуд буд.Ledger бо WalletConnect ҳамоҳангӣ кард, ки лоиҳаи қаллобиро зуд ғайрифаъол кард. Нусхаи аслӣ ва тасдиқшудаи Ledger Connect Kit 1.1.8 ҳоло паҳн шуда истодааст ва истифодааш бехатар аст.
Барои сохтмончиёне, ки рамзи Ledger Connect Kit-ро таҳия ва бо он ҳамкорӣ мекунанд: дастаи таҳиягарони connect-kit дар лоиҳаи NPM ҳоло танҳо барои хондан дастрас аст ва наметавонанд бастаи NPM-ро мустақиман бо сабабҳои бехатарӣ интиқол диҳанд. Мо асрорро барои нашр дар GitHub-и Ledger дар дохили худ иваз кардем. Таҳиягарон, лутфан бори дигар санҷед, ки шумо версияи охирини 1.1.8-ро истифода мебаред.
Леджер, дар баробари WalletConnect ва шарикони мо суроғаи ҳамёни шахси бадхоҳро гузориш доданд. Акнун суроға дар... намоён аст Chainalysis. Tether USDT-и актёри бадкирдорро ях кардааст."
Мувофиқи ин, чораҳои маҳдудкунӣ зуд андешида шуданд, зеро лоиҳаи қаллобии WalletConnect барои аз нав равона кардани маблағҳо фавран ғайрифаъол карда шуд. Аммо бо вуҷуди ин, баъзе ҳамёнҳо холӣ шуданд.
Оқибат: Чӣ гуна саноат вокуниш нишон дод
Баъзе корбарон аз Ledger барои пешгирӣ накардани ин созиш хашмгин шуданд, дар ҳоле ки дигарон аз хатарҳои такя ба китобхонаҳои тарафи сеюм ҳушдор доданд.
Соҳаи амнияти киберӣ дар киберкоин мавқеи худро дорад. Маъракаҳои аз байн бурдани пул дар ҳамёнҳо маълуманд, ки асосан аз сайтҳои фишинг барои фиреб додани корбарони ниҳоӣ истифода мебаранд. Тиҷорати маъмулии SaaS (Scam-as-a-Service) дорои субъектҳои махсус барои аз байн бурдани пул дар ҳамёнҳо мебошад, ба монанди фурӯшандаи қаллобӣ. Дренажи Инферно кадом қатъ шудани фаъолиятро эълон кард дар моҳи ноябри соли 2023. Тибқи фаъолияти ахир дар Dune's, ба назар чунин мерасад, ки ин як парчами бардурӯғ аст. @scamsnifferНақшаи пайравӣкардаи онҳо дар ин паёми Group-IB шарҳ дода шудааст:
Баъзе таҳлилгарон дар бораи он чизе, ки ин ҳамларо имконпазир накард, ишора карданд. шарҳ аз ҷониби корбар brianddk дар чипта дар анбори лоиҳа ба мо дар бораи сабаби аслӣ маълумот медиҳад:
A шарҳ аз ҷониби корбари дигар, HenryQW, ба дуюмин чизе ишора кард, ки версияҳои зарароварро метавонист тавассути CDN паҳн кунад:
Ҳоло барои дидани ташаббусҳои дарозмуддат барои мустаҳкамтар кардани фронтендҳои ҳамёни криптовалюта бар зидди ҳамлаҳои фишинг хеле барвақт аст. Чунин ба назар мерасад, ки риояи як қоидаро талаб мекунад. standard монанд ба он чизе, ки PA-DSS Ин кор барои фурӯшандагони нармафзори барномаҳои пардохтӣ метавонад дар саноати крипто истиқбол карда шавад.
Ва акнун, дарсҳои омӯхташуда!
Аҷиб аст, ки чӣ тавр ҳамёни сахтафзор, ки намунаи амнияти крипто аст, танҳо бо роҳи дастрасӣ ба эътимодномаҳои NPM вайрон карда шуд аз "корманди собиқ"-и Ledger (эҳтимолан номи корбарӣ/гузарвожа бидуни ҳифзи 2FA ё токени дастрасӣ). Ин ҳодиса ҳамчун ёдраскунандаи муҳиме хизмат мекунад, ки вақте ки шумо зери фишор қарор доред, инфрасохтори нармафзори шумо бояд бо ҳамон эҳтиёт мисли маҳсулоти нармафзор ё сахтафзори шумо ҳифз карда шавад.
Аксари ҳамлаҳои занҷираи таъминоти нармафзор бо вайрон кардани ҳисоби дохилӣ (аксар вақт барои таҳиягар ё муҳандиси devops) оғоз мешаванд. Сипас, ҳамлагарон ё ба паҳлӯ ҳаракат мекунанд, то системаҳои дохилиро дар инфрасохтори нармафзор, ба монанди CI/CD система ё абзорҳои ҷойгиркунӣ, ё идора кардани мантиқи зараровар ба анборҳои рамзи сарчашма, ки агар коркарди дурусти тағйирот бо ҳифзи шоха ва баррасии рамзҳо мавҷуд бошад, муайян карда мешаванд. Аммо ҳамлагарон набояд он қадар амиқ раванд, вақте ки ҳадаф китобхонаи маъмулест, ки дар феҳристи оммавӣ нашр шудааст, хусусан агар онҳо метавонанд ба нашр (навиштани) эътимодномаҳо дастрасӣ пайдо кунанд. Ва ин аст он чизе ки дар ин ҳамла рӯй дод.
Аутентификатсияи 2FA, махсусан истифодаи унсурҳои мустаҳкам ба монанди калидҳои амниятӣ, хатарро бо амалиётҳои интерактивӣ маҳдуд мекунад. CI/CD pipelineс, токенҳои дастрасӣ бо дастрасии маҳдуд ҳамчун CI/CD secret роҳи маъмулии интихоб аст (ва токени дастрасӣ набояд фош шавад). Мутаассифона, ба назар мерасад, ки корманд маҷмӯи қавии 2FA надошт. NPM имкон медиҳад. ташкилотҳо барои татбиқи 2FA (аммо ин ихтиёрӣ аст, на пешфарз), ки эҳтимолан он чизест, ки Ledger бояд дошта бошад. Ва илова кардани мувофиқро фаромӯш накунед бекор кардани эътимодномаҳо расмиёт барои кормандони собиқ, махсусан бо дастрасӣ ба захираҳое, ки ба мисли доираи NPM, ки ба ташкилот тааллуқ доранд, муҳиманд.
Пин кардани версия барои вобастагиҳо бо барҳамхӯрии версияҳои баррасишуда амалияест, ки паҳншавии вобастагиҳои зарароварро коҳиш медиҳад. Дар заминаи ҳодисаи Ledger, версияҳои китобхонае, ки боркунаки пайвасткунӣ гирифташуда аз CDN бояд пин карда мешуд ва «ба ҳар чизе, ки CDN мепартояд, бовар накунед». Доштани тасдиқи чексум масалан, ҳангоми кашидани рамзи динамикӣ аз CDN бояд тавассути SRI (ё ҳатто схемаи имзои рақамӣ, ки манбаъро тасдиқ мекунад) истифода шавад.
Боқимонда як ҳикоя аст.
Дар мавриди маъракаҳои анъанавии фишинг, ки ба корбарони ҳамён нигаронида шудаанд, савол ин аст: Чӣ корбаронро водор мекунад, ки ба домҳои аз ҷониби ҷинояткорон гузошташуда афтанд ва муомилотеро, ки ҳеҷ гоҳ нияти анҷом додани онҳоро надоштанд, тасдиқ кунанд? Сомонаҳои фишинг дар ин домен хуб тарҳрезӣ ва боварибахш буда, брендҳои машҳури крипторо тақлид мекунанд; ва онҳо инчунин токенҳои ройгонро пешниҳод мекунанд, зарб кардани NFT-ҳо ва дигар мукофотҳо. Пешгирӣ аз афтодан ба чунин домҳо мушкили ҷустуҷӯи роҳи ҳал аст.
Ва фаромӯш накунем марбут криптохакинг ҳамлаҳо, як таҳдиди умумӣтар, ки дар он рақибон инфрасохторҳои абриро барои идора кардани конканҳо барои криптовалюта, аксар вақт барои тангаҳои махфият ба монанди Monero XMR ва Zcash, бо таърихи муомилоти пинҳон, ба даст меоранд. Криптовалюта муҳим аст, зеро он метавонад ба ҲАР гуна ташкилот таъсир расонад ва гарчанде ки фоидаи ҳамлагар метавонад кам бошад, хароҷот барои ҷабрдида метавонад калон бошад (Sysdig дар ... зикр шудааст). ин гузориш ки барои ҳар як доллари истихроҷшуда барои ҳамлагар 53 доллар барои созмони ҷабрдида сарф мешавад).
Адабиёт
- Чипта "[ТАЪҶИЛӢ] Ин анбор аз версияи зараровари бастаи npm @ledgerhq/connect-kit, 1.1.7 истифода мебарад"дар анбори Github."
- Нома аз директори генералии Ledger дар бораи ин ҳодиса, 14 декабри соли 2023.
- Гузориши ҳодисаҳои амниятӣ, аз ҷониби Леджер, 20 декабри соли 2023.
- Истифода аз Ledger DeFi-ро зери хатар мегузорад; Суши мегӯяд, ки "бо ягон барномаи dApp ҳамкорӣ накунед", дар ин ҷо ҷойгир кунед Садо Меҳмони "Озодӣ" аз ҷониби Оливер Найт, 14 Dec 2023.
- Ҳамлаи занҷираи таъминот ба маҷмӯаи пайвасткунии Ledger: Таҳлили таъсир ва чораҳои пешгирикунандаПаёми SlowMist дар бораи ҳамла, декабри соли 2023.
- Консепсияҳои амниятии Web3: Қубурҳои обгузари ҳамён, аз ҷониби Ҷаммел Уивер, дар Rektify AI, июли 2023.
Намоиши видеоии моро тамошо кунед
