Clientes de caixas eletrônicos Bitcoin hackeados por upload de vídeo que na verdade era um aplicativo

Há muitos trocadilhos militares na história do sistema operacional.

O Unix é famoso por ter todo um grupo de funcionários conhecido como Número principal, que organizam os batalhões de dispositivos como drives de disco, teclados e webcams em seu sistema.

A Microsoft já lutou com o aparentemente incompetente Falha geral, que era visto regularmente tentando ler seus discos DOS e falhando.

Linux tem intermitentemente tem problemas com Coronel PanicDe quem aparência é normalmente seguido por dados perdidos, sistemas de arquivos potencialmente danificados e uma necessidade urgente de desligar a energia e reiniciar o computador.

E uma empresa tcheca de criptomoedas não parece estar obtendo o tipo de confiabilidade que você pode esperar de uma personalidade chamada Bytes Gerais.

Na verdade, Bytes Gerais é o nome da própria empresa, um negócio que infelizmente não é estranho a invasões indesejadas e acesso não autorizado a fundos de criptomoedas.

Uma vez é infortúnio

Em agosto de 2022, escrevemos como a General Bytes vítima caída a um bug do lado do servidor no qual invasores remotos poderiam enganar o servidor ATM de um cliente para dar-lhes acesso às páginas de configuração “configurar um novo sistema”.

Se você já reflashou um iPhone ou um dispositivo Android, saberá que a pessoa que realiza a configuração original acaba com o controle do dispositivo, principalmente porque pode configurar o usuário principal e escolher um novo código de bloqueio ou senha durante o processo.

No entanto, você também saberá que os telefones celulares modernos forçam a limpeza do conteúdo antigo do dispositivo, incluindo todos os dados do usuário antigo, antes de reinstalar e reconfigurar o sistema operacional, os aplicativos e as configurações do sistema.

Em outras palavras, você pode começar de novo, mas não pode continuar de onde o último usuário parou, caso contrário, você pode usar um reflash do sistema (ou um DFU, abreviação de atualização de firmware do dispositivo, como a Apple o chama) para acessar os arquivos do proprietário anterior.

No servidor ATM da General Bytes, no entanto, o caminho de acesso não autorizado que colocou os invasores nas telas de configuração “começar do zero” não neutralizou nenhum dado no dispositivo infiltrado primeiro…

…para que os bandidos possam abusar do processo de “criar uma nova conta administrativa” do servidor para criar um usuário administrador adicional em um sistema existente.

Duas vezes parece descuido

Da última vez, o General Bytes sofreu o que se pode chamar de ataque sem malware, em que os criminosos não implantaram nenhum código malicioso.

O ataque de 2022 foi orquestrado simplesmente por meio de alterações de configuração malévolas, com o sistema operacional subjacente e o software do servidor intocados.

Desta vez, os atacantes usaram um abordagem mais convencional que dependia de um implante: software malicioso ou malwares para resumir, isso foi carregado por meio de uma brecha de segurança e usado como o que você pode chamar de “painel de controle alternativo”.

Em inglês simples: os bandidos encontraram um bug que lhes permitia instalar um backdoor para que pudessem entrar depois sem permissão.

Como General Bytes colocou:

O invasor conseguiu fazer upload de seu próprio aplicativo Java remotamente por meio da interface de serviço mestre usada pelos terminais para fazer upload de vídeos e executá-lo usando privilégios de usuário batm.

Não sabemos ao certo por que um caixa eletrônico precisa de uma opção remota de upload de imagem e vídeo, como se fosse algum tipo de site de blog da comunidade ou serviço de mídia social…

…mas parece que o sistema Coin ATM Server inclui exatamente esse recurso, presumivelmente para que anúncios e outras ofertas especiais possam ser promovidos diretamente aos clientes que visitam os caixas eletrônicos.

Uploads que não são o que parecem

Infelizmente, qualquer servidor que permita uploads, mesmo que venham de uma fonte confiável (ou pelo menos uma fonte autenticada), precisa tomar alguns cuidados:

• Os uploads precisam ser gravados em uma área de preparação onde não possam ser lidos imediatamente de fora. Isso ajuda a garantir que usuários não confiáveis ​​não possam transformar seu servidor em um sistema de entrega temporária de conteúdo não autorizado ou inapropriado por meio de um URL que pareça legítimo porque tem o aval de sua marca.
• Os uploads precisam ser verificados para garantir que correspondam aos tipos de arquivo permitidos. Isso ajuda a impedir que usuários desonestos armadilhem sua área de upload, enchendo-a de scripts ou programas que podem acabar sendo executados no servidor, em vez de simplesmente entregues a um visitante subsequente.
• Os uploads precisam ser salvos com as permissões de acesso mais restritivas possíveis, para que arquivos corrompidos ou armadilhados não possam ser executados inadvertidamente ou mesmo acessados ​​de partes mais seguras do sistema.

A General Bytes, ao que parece, não tomou essas precauções, com o resultado de que os invasores foram capazes de realizar uma ampla gama de ações de roubo de privacidade e roubo de criptomoedas.

A atividade maliciosa aparentemente incluía: ler e descriptografar códigos de autenticação usados ​​para acessar fundos em carteiras e bolsas quentes; envio de fundos de carteiras quentes; download de userames e hashes de senha; recuperar as chaves criptográficas do cliente; desligando 2FA; e acessando logs de eventos.

O que fazer?

• Se você executar sistemas ATM General Bytes Coin, leia o da empresa relatório de violação, que informa como procurar os chamados IoCs (indicadores de compromisso) e o que fazer enquanto aguarda a publicação dos patches.

Observe que a empresa confirmou que os servidores Coin ATM autônomos e seus próprios sistemas baseados em nuvem (onde você paga à General Bytes uma taxa de 0.5% em todas as transações em troca de eles executarem seus servidores para você) foram afetados.

Curiosamente, a General Bytes relata que será “fechando seu serviço de nuvem”, e insistindo que “você precisará instalar seu próprio servidor autônomo”. (O relatório não dá um prazo, mas a empresa já está oferecendo ativamente suporte à migração.)

Em uma reviravolta que levará a empresa na direção oposta à maioria das outras empresas contemporâneas voltadas para serviços, a General Bytes insiste que “é teoricamente (e praticamente) impossível proteger um sistema que concede acesso a vários operadores ao mesmo tempo, onde alguns deles são maus atores”.

• Se você usou um caixa eletrônico da General Bytes recentemente, entre em contato com sua bolsa ou bolsas de criptomoedas para obter conselhos sobre o que fazer e se algum de seus fundos está em risco.

• Se você é um programador cuidando de um serviço online, seja auto-hospedado ou hospedado na nuvem, leia e siga nossos conselhos acima sobre uploads e diretórios de upload.

• Se você é um entusiasta de criptomoedas, mantenha o mínimo possível de seu estoque de criptomoedas no chamado hot wallets.

As carteiras quentes são essencialmente fundos que estão prontos para serem negociados a qualquer momento (talvez automaticamente) e normalmente exigem que você confie suas próprias chaves criptográficas a outra pessoa ou transfira fundos temporariamente para uma ou mais de suas carteiras.

---

• Conteúdo com tecnologia de SEO e distribuição de relações públicas. Seja amplificado hoje.
• Platoblockchain. Inteligência Metaverso Web3. Conhecimento Ampliado. Acesse aqui.
• Fonte: https://nakedsecurity.sophos.com/2023/03/20/bitcoin-atm-customers-hacked-by-video-upload-that-was-actually-an-app/