عملاء Bitcoin ATM الذين تم اختراقهم عن طريق تحميل الفيديو الذي كان في الواقع تطبيقًا

هناك الكثير من التورية العسكرية في تاريخ نظام التشغيل.

تشتهر يونكس بمجموعة كاملة من الأفراد المعروفين باسم رقم رئيسي، الذي ينظم مجموعات الأجهزة مثل محركات الأقراص ولوحات المفاتيح وكاميرات الويب في نظامك.

كافحت مايكروسوفت ذات مرة مع غير الأكفاء على ما يبدو فشل عام، الذي شوهد بانتظام وهو يحاول قراءة أقراص DOS الخاصة بك ويفشل.

لينكس لديه مشاكل بشكل متقطع مع العقيد الذعرلمن، مظهر عادةً ما يتبعها فقدان البيانات وأنظمة الملفات التي قد تتلف وحاجة ملحة لإيقاف الطاقة وإعادة تشغيل جهاز الكمبيوتر الخاص بك.

ولا يبدو أن شركة العملات المشفرة التشيكية تحصل على نوع الموثوقية التي قد تتوقعها بشكل معقول من شخصية تسمى البايت العام.

في الواقع، البايت العام هو اسم الشركة نفسها ، وهو عمل للأسف ليس غريباً عن التدخلات غير المرغوب فيها والوصول غير المصرح به إلى أموال العملة المشفرة.

مرة واحدة محنة

في أغسطس 2022 ، كتبنا كيف كان الجنرال بايت ضحية سقطت إلى خطأ من جانب الخادم حيث يمكن للمهاجمين عن بُعد خداع خادم ماكينة الصراف الآلي للعميل لمنحهم إمكانية الوصول إلى صفحات تكوين "إعداد نظام جديد تمامًا".

إذا قمت بإعادة تحميل جهاز iPhone أو جهاز Android ، فستعرف أن الشخص الذي يقوم بالإعداد الأصلي ينتهي به الأمر بالتحكم في الجهاز ، لا سيما لأنه يتمكن من تكوين المستخدم الأساسي واختيار رمز قفل جديد تمامًا أو عبارة المرور أثناء العملية.

ومع ذلك ، ستعرف أيضًا أن الهواتف المحمولة الحديثة تمسح المحتويات القديمة للجهاز بالقوة ، بما في ذلك جميع بيانات المستخدم القديم ، قبل إعادة تثبيت وإعادة تكوين نظام التشغيل والتطبيقات وإعدادات النظام.

بمعنى آخر ، يمكنك البدء من جديد ، لكن لا يمكنك تولي الأمر من حيث توقف المستخدم الأخير ، وإلا يمكنك استخدام تعيد تحميل ملفات النظام (أو DFU ، اختصارًا لـ ترقية البرامج الثابتة للجهاز، كما تسميها Apple) للوصول إلى ملفات المالك السابق.

ومع ذلك ، في خادم ATM General Bytes ، فإن مسار الوصول غير المصرح به الذي أدخل المهاجمين إلى شاشات الإعداد "البدء من نقطة الصفر" لم يحيد أي بيانات على الجهاز المخترق أولاً ...

... حتى يتمكن المحتالون من إساءة استخدام عملية "إعداد حساب إداري جديد" للخادم لإنشاء مستخدم إداري إضافي على النظام القائم.

يبدو مرتين وكأنه الإهمال

في المرة الأخيرة ، عانى الجنرال بايت مما قد تسميه هجومًا غير ضار ، حيث لم يقم المجرمون بزرع أي تعليمات برمجية ضارة.

تم تنظيم هجوم 2022 ببساطة من خلال تغييرات خبيثة في التكوين ، مع ترك نظام التشغيل الأساسي وبرنامج الخادم دون تغيير.

هذه المرة ، استخدم المهاجمون نهج أكثر تقليدية التي اعتمدت على غرسة: برامج ضارة ، أو البرمجيات الخبيثة باختصار ، تم تحميل ذلك عبر ثغرة أمنية ثم استخدامه كما يمكنك تسميته "لوحة تحكم بديلة".

بلغة إنجليزية بسيطة: عثر المحتالون على خطأ سمح لهم بتثبيت باب خلفي حتى يتمكنوا من الدخول بعد ذلك دون إذن.

كما قال الجنرال بايت:

تمكن المهاجم من تحميل تطبيق Java الخاص به عن بُعد عبر واجهة الخدمة الرئيسية التي تستخدمها المحطات لتحميل مقاطع الفيديو وتشغيلها باستخدام امتيازات مستخدم batm.

لسنا متأكدين من سبب احتياج أجهزة الصراف الآلي إلى خيار تحميل الصور والفيديو عن بُعد ، كما لو كان نوعًا من مواقع المدونات المجتمعية أو خدمة الوسائط الاجتماعية ...

... ولكن يبدو أن نظام Coin ATM Server يشتمل على مثل هذه الميزة ، ويفترض أنه يمكن الترويج للإعلانات والعروض الخاصة الأخرى مباشرة للعملاء الذين يزورون أجهزة الصراف الآلي.

تحميلات ليست على ما يبدو

لسوء الحظ ، يحتاج أي خادم يسمح بالتحميلات ، حتى لو كانت من مصدر موثوق (أو على الأقل مصدر مصدق عليه) ، إلى توخي الحذر من عدة أشياء:

• يجب كتابة التحميلات في منطقة التدريج حيث لا يمكن قراءتها على الفور من الخارج. يساعد هذا في ضمان عدم قدرة المستخدمين غير الموثوق بهم على تحويل الخادم الخاص بك إلى نظام تسليم مؤقت للمحتوى غير المصرح به أو غير المناسب عبر عنوان URL يبدو شرعيًا لأنه يحمل علامة علامتك التجارية.
• يجب فحص التحميلات للتأكد من مطابقتها لأنواع الملفات المسموح بها. يساعد هذا في منع المستخدمين المحتالين من تفخيخ منطقة التحميل الخاصة بك عن طريق ملؤها بالنصوص أو البرامج التي قد ينتهي بها الأمر في وقت لاحق ليتم تنفيذها على الخادم بدلاً من تقديمها إلى زائر لاحق.
• يجب حفظ التحميلات بأذونات الوصول الأكثر تقييدًا الممكنة ، بحيث لا يمكن تنفيذ الملفات المفخخة أو الفاسدة بشكل غير صحيح أو حتى الوصول إليها من أجزاء أكثر أمانًا في النظام.

يبدو أن شركة General Bytes لم تتخذ هذه الاحتياطات ، مما أدى إلى تمكن المهاجمين من تنفيذ مجموعة واسعة من إجراءات انتهاك الخصوصية وتمزيق العملة المشفرة.

من الواضح أن النشاط الضار شمل: قراءة وفك تشفير رموز المصادقة المستخدمة للوصول إلى الأموال في المحافظ الساخنة والتبادلات ؛ إرسال الأموال من المحافظ الساخنة ؛ تنزيل أسماء المستخدمين وكلمات المرور ؛ استرجاع مفاتيح التشفير الخاصة بالعميل ؛ إيقاف 2FA ؛ والوصول إلى سجلات الأحداث.

ماذا ستفعلين.. إذًا؟

• إذا قمت بتشغيل أنظمة ATM General Bytes Coin ، قراءة الشركة تقرير الخرق، والذي يخبرك بكيفية البحث عن ما يسمى IoCs (مؤشرات التسوية) وماذا تفعل أثناء انتظارك لنشر التصحيحات.

لاحظ أن الشركة أكدت أن كلاً من خوادم Coin ATM المستقلة وأنظمتها المستندة إلى السحابة (حيث تدفع ضريبة General Bytes بنسبة 0.5٪ على جميع المعاملات مقابل تشغيلها للخوادم الخاصة بك) قد تأثرت.

ومن المثير للاهتمام ، أن جنرال بايت ذكرت أنها ستكون كذلك "إغلاق خدمتها السحابية"، والإصرار على ذلك "ستحتاج إلى تثبيت خادمك المستقل". (لا يحدد التقرير موعدًا نهائيًا ، لكن الشركة تقدم بالفعل دعمًا نشطًا للترحيل).

في تحول من شأنه أن يأخذ الشركة في الاتجاه المعاكس لمعظم الشركات الأخرى الموجهة نحو الخدمات المعاصرة ، تصر General Bytes على ذلك "من المستحيل نظريًا (وعمليًا) تأمين نظام يمنح الوصول إلى مشغلين متعددين في نفس الوقت حيث يكون بعضهم جهات فاعلة سيئة."

• إذا كنت قد استخدمت صرافًا آليًا من نوع General Bytes مؤخرًا ، اتصل بصرف العملات المشفرة أو البورصات للحصول على المشورة بشأن ما يجب القيام به ، وما إذا كان أي من أموالك معرضة للخطر.

• إذا كنت مبرمجًا وتعتني بخدمة عبر الإنترنت ، سواء أكان ذلك مستضافًا ذاتيًا أو مستضافًا على السحابة ، اقرأ نصيحتنا أعلاه واستمع إليها حول التحميلات وتحميل الدلائل.

• إذا كنت من عشاق العملات المشفرة ، احتفظ بأقل قدر ممكن من خبأ cryptocoin الخاص بك في ما يسمى المحافظ الساخنة.

تعتبر المحافظ الساخنة في الأساس أموالًا جاهزة للتداول في أي لحظة (ربما تلقائيًا) ، وتتطلب عادةً إما أن تعهد بمفاتيح التشفير الخاصة بك إلى شخص آخر ، أو تحويل الأموال مؤقتًا إلى واحدة أو أكثر من محافظهم.

---

• محتوى مدعوم من تحسين محركات البحث وتوزيع العلاقات العامة. تضخيم اليوم.
• بلاتوبلوكشين. Web3 Metaverse Intelligence. تضخيم المعرفة. الوصول هنا.
• المصدر https://nakedsecurity.sophos.com/2023/03/20/bitcoin-atm-customers-hacked-by-video-upload-that-was-actually-an-app/