I clienti di Bitcoin ATM sono stati violati dal caricamento di video che in realtà era un'app

I clienti di Bitcoin ATM sono stati violati dal caricamento di video che in realtà era un'app

Timestamp: 20 marzo 2023 1:50
Clienti ATM Bitcoin violati tramite caricamento video che in realtà era un'app PlatoBlockchain Data Intelligence. Ricerca verticale. Ai.
by Paul Ducklin

Ci sono molti giochi di parole militari nella storia del sistema operativo.

Unix ha notoriamente un'intera zattera di personale noto come Numero maggiore, che organizzano i battaglioni di dispositivi come unità disco, tastiere e webcam nel tuo sistema.

Microsoft una volta ha lottato con l'apparentemente incompetente Fallimento generale, che è stato regolarmente notato mentre cercava di leggere i tuoi dischi DOS e falliva.

Linux ha occasionalmente problemi con Colonnello Panic, il cui aspetto è in genere seguito da dati persi, file system potenzialmente danneggiati e un'urgente necessità di spegnere l'alimentazione e riavviare il computer.

E una società di criptovaluta ceca non sembra ottenere il tipo di affidabilità che potresti ragionevolmente aspettarti da una personalità chiamata Generali byte.

In realtà, Generali byte è il nome dell'azienda stessa, un'attività che purtroppo non è estranea a intrusioni indesiderate e accessi non autorizzati a fondi di criptovalute.

Una volta è sfortuna

Nell'agosto 2022, abbiamo scritto come aveva General Bytes vittima caduta a un bug lato server in cui gli aggressori remoti potrebbero indurre il server ATM di un cliente a concedergli l'accesso alle pagine di configurazione "imposta un nuovo sistema".

Se hai mai eseguito il reflash di un iPhone o di un dispositivo Android, saprai che la persona che esegue la configurazione originale finisce con il controllo del dispositivo, in particolare perché può configurare l'utente principale e scegliere un nuovo codice di blocco o passphrase durante il processo.

Tuttavia, saprai anche che i moderni telefoni cellulari cancellano forzatamente i vecchi contenuti del dispositivo, inclusi tutti i dati del vecchio utente, prima di reinstallare e riconfigurare il sistema operativo, le app e le impostazioni di sistema.

In altre parole, puoi ricominciare da capo, ma non puoi riprendere da dove si era interrotto l'ultimo utente, altrimenti potresti usare un reflash di sistema (o un DFU, abbreviazione di aggiornamento del firmware del dispositivo, come lo chiama Apple) per accedere ai file del precedente proprietario.

Nel server General Bytes ATM, tuttavia, il percorso di accesso non autorizzato che ha portato gli aggressori nelle schermate di configurazione "ricomincia da zero" non ha neutralizzato prima alcun dato sul dispositivo infiltrato...

…quindi i truffatori potrebbero abusare del processo di "impostazione di un nuovo account amministrativo" del server per creare un utente amministratore aggiuntivo su un sistema esistente.

Due volte sembra disattenzione

L'ultima volta, General Bytes ha subito quello che si potrebbe definire un attacco senza malware, in cui i criminali non hanno impiantato alcun codice dannoso.

L'attacco del 2022 è stato orchestrato semplicemente attraverso malevoli modifiche alla configurazione, lasciando intatti il ​​sistema operativo sottostante e il software del server.

Questa volta, gli aggressori hanno usato un approccio più convenzionale che si basava su un impianto: software dannoso o il malware in breve, è stato caricato tramite una scappatoia di sicurezza e quindi utilizzato come quello che potresti chiamare un "pannello di controllo alternativo".

In parole povere: i truffatori hanno trovato un bug che permetteva loro di installare una backdoor in modo che potessero entrare senza permesso.

Come afferma General Bytes:

L'aggressore è stato in grado di caricare la propria applicazione Java in remoto tramite l'interfaccia del servizio principale utilizzata dai terminali per caricare video ed eseguirla utilizzando i privilegi dell'utente batm.

Non siamo sicuri del motivo per cui un bancomat abbia bisogno di un'opzione di caricamento remoto di immagini e video, come se fosse una sorta di sito di blog della comunità o servizio di social media...

… ma sembra che il sistema Coin ATM Server includa proprio questa funzionalità, presumibilmente in modo che gli annunci e altre offerte speciali possano essere promosse direttamente ai clienti che visitano gli sportelli automatici.

Caricamenti che non sono ciò che sembrano

Sfortunatamente, qualsiasi server che consente i caricamenti, anche se provengono da una fonte attendibile (o almeno da una fonte autenticata), deve fare attenzione a diverse cose:

  • I caricamenti devono essere scritti in un'area di staging dove non possono essere riletti immediatamente dall'esterno. Questo aiuta a garantire che gli utenti inaffidabili non possano trasformare il tuo server in un sistema di consegna temporaneo per contenuti non autorizzati o inappropriati tramite un URL che sembra legittimo perché ha l'imprimatur del tuo marchio.
  • I caricamenti devono essere controllati per garantire che corrispondano ai tipi di file consentiti. Questo aiuta a impedire agli utenti non autorizzati di intrappolare la tua area di caricamento riempiendola di script o programmi che potrebbero in seguito finire per essere eseguiti sul server piuttosto che essere semplicemente offerti a un visitatore successivo.
  • I caricamenti devono essere salvati con le autorizzazioni di accesso più restrittive possibili, in modo che i file corrotti o con trappole esplosive non possano essere eseguiti inavvertitamente o addirittura accessibili da parti più sicure del sistema.

General Bytes, a quanto pare, non ha preso queste precauzioni, con il risultato che gli aggressori sono stati in grado di eseguire un'ampia gamma di azioni di privacy busting e cryptocurrency ripping.

L'attività dannosa apparentemente includeva: lettura e decrittazione dei codici di autenticazione utilizzati per accedere ai fondi negli hot wallet e negli scambi; invio di fondi da hot wallet; scaricare nomi utente e hash delle password; recuperare le chiavi crittografiche del cliente; disattivare 2FA; e accedere ai registri degli eventi.

Cosa fare?

  • Se gestisci sistemi ATM General Bytes Coin, leggi quello della compagnia rapporto di violazione, che ti dice come cercare i cosiddetti IoC (indicatori di compromesso) e cosa fare mentre si attende la pubblicazione delle patch.

Si noti che la società ha confermato che sia i server Coin ATM autonomi che i propri sistemi basati su cloud (dove si paga a General Bytes un prelievo dello 0.5% su tutte le transazioni in cambio dell'esecuzione dei server per te) sono stati interessati.

Curiosamente, General Bytes riferisce che lo sarà "chiusura del suo servizio cloud", e insistendo che "dovrai installare il tuo server autonomo". (Il rapporto non indica una scadenza, ma la società offre già attivamente supporto per la migrazione.)

In un'inversione di tendenza che porterà l'azienda nella direzione opposta alla maggior parte delle altre aziende contemporanee orientate ai servizi, General Bytes insiste sul fatto che "è teoricamente (e praticamente) impossibile garantire un sistema che garantisca l'accesso a più operatori contemporaneamente in cui alcuni di loro sono malintenzionati".

  • Se hai utilizzato un bancomat General Bytes di recente, contatta il tuo scambio o scambi di criptovaluta per consigli su cosa fare e se qualcuno dei tuoi fondi è a rischio.
  • Se sei un programmatore che si occupa di un servizio online, che sia self-hosted o cloud-hosted, leggi e ascolta i nostri consigli sopra sui caricamenti e sulle directory di caricamento.
  • Se sei un appassionato di criptovalute, tieni il meno possibile della tua scorta di criptovalute nei cosiddetti portafogli "caldi" (hot wallet).

Gli hot wallet sono essenzialmente fondi pronti per essere scambiati in un attimo (forse automaticamente) e in genere richiedono che tu affidi le tue chiavi crittografiche a qualcun altro o trasferisci temporaneamente fondi in uno o più dei loro portafogli.

Timestamp:

Di più da Sicurezza nuda