Clienții ATM-urilor Bitcoin au piratat prin încărcare video care era de fapt o aplicație

Există o mulțime de jocuri de cuvinte militare în istoria sistemului de operare.

Unix are o mulțime de personal cunoscut sub numele de Numărul major, care organizează batalioane de dispozitive precum unități de disc, tastaturi și camere web din sistemul dvs.

Microsoft s-a luptat odată cu cei aparent incompetenți Esec general, care a fost văzut în mod regulat încercând să vă citească discurile DOS și eșuând.

Linux are intermitent probleme cu Colonelul Panic, a caror aspect este de obicei urmată de date pierdute, sisteme de fișiere potențial deteriorate și o nevoie urgentă de a opri alimentarea și a reporni computerul.

Și o companie cehă de criptomonede nu pare să obțină genul de fiabilitate la care te-ai putea aștepta în mod rezonabil de la o personalitate numită Octiți generali.

De fapt, Octiți generali este numele companiei în sine, o afacere care, din păcate, nu este străină de intruziunile nedorite și accesul neautorizat la fondurile criptomonede.

Odată e nenorocirea

În august 2022, am scris cum a făcut General Bytes victima cazuta la o eroare la nivel de server în care atacatorii de la distanță ar putea păcăli serverul ATM al unui client pentru a le oferi acces la paginile de configurare „configurați un sistem nou-nouț”.

Dacă ați reflashat vreodată un dispozitiv iPhone sau Android, veți ști că persoana care efectuează configurarea originală ajunge să dețină controlul asupra dispozitivului, în special pentru că poate configura utilizatorul principal și alege un cod de blocare nou-nouț. sau expresie de acces în timpul procesului.

Cu toate acestea, veți ști, de asemenea, că telefoanele mobile moderne șterg forțat conținutul vechi al dispozitivului, inclusiv toate datele vechiului utilizator, înainte de a reinstala și reconfigure sistemul de operare, aplicațiile și setările sistemului.

Cu alte cuvinte, puteți începe din nou, dar nu puteți prelua locul de unde a rămas ultimul utilizator, altfel puteți folosi o reflash de sistem (sau un DFU, prescurtare de la upgrade firmware-ul dispozitivului, așa cum îl numește Apple) pentru a ajunge la fișierele proprietarului anterior.

Cu toate acestea, pe serverul ATM-ului General Bytes, calea de acces neautorizat care a adus atacatorii în ecranele de configurare „începe de la zero” nu a neutralizat mai întâi nicio dată de pe dispozitivul infiltrat...

… astfel încât escrocii ar putea abuza de procesul de „configurare a unui nou cont administrativ” al serverului pentru a crea un utilizator admin suplimentar pe o sistem existent.

De două ori arată ca nepăsare

Ultima dată, General Bytes a suferit ceea ce ați putea numi un atac fără malware, în care criminalii nu au implantat niciun cod rău intenționat.

Atacul din 2022 a fost orchestrat pur și simplu prin modificări de configurare răuvoitoare, sistemul de operare și software-ul serverului de bază rămânând neatinse.

De data aceasta, atacatorii au folosit un abordare mai convențională care se baza pe un implant: software rău intenționat sau malware pe scurt, a fost încărcat printr-o lacună de securitate și apoi folosit ca ceea ce ați putea numi „panou de control alternativ”.

În engleză simplă: escrocii au găsit o eroare care le-a permis să instaleze o ușă din spate, astfel încât să poată intra după aceea fără permisiune.

După cum spunea General Bytes:

Atacatorul a putut să-și încarce propria aplicație Java de la distanță prin intermediul interfeței de serviciu principal folosită de terminale pentru a încărca videoclipuri și a o rula folosind privilegiile de utilizator batm.

Nu suntem siguri de ce un bancomat are nevoie de o opțiune de încărcare a imaginilor și a videoclipurilor de la distanță, ca și cum ar fi un fel de site de bloguri comunitare sau un serviciu de social media...

… dar se pare că sistemul Coin ATM Server include chiar o astfel de caracteristică, probabil astfel încât reclamele și alte oferte speciale să poată fi promovate direct clienților care vizitează ATM-urile.

Încărcări care nu sunt ceea ce par

Din păcate, orice server care permite încărcări, chiar dacă provin de la o sursă de încredere (sau cel puțin o sursă autentificată) trebuie să fie atent la mai multe lucruri:

• Încărcările trebuie să fie scrise într-o zonă de pregătire unde nu pot fi citite imediat din exterior. Acest lucru vă ajută să vă asigurați că utilizatorii care nu sunt de încredere nu vă pot transforma serverul într-un sistem de livrare temporară pentru conținut neautorizat sau neadecvat printr-o adresă URL care pare legitimă, deoarece are imprimatul mărcii dvs.
• Încărcările trebuie verificate pentru a se asigura că se potrivesc cu tipurile de fișiere permise. Acest lucru îi ajută să împiedice utilizatorii necinstiți să-ți atragă zona de încărcare prin împrăștierea acesteia cu scripturi sau programe care ar putea ajunge ulterior să fie executate pe server, mai degrabă decât să fie pur și simplu oferite unui vizitator ulterior.
• Încărcările trebuie să fie salvate cu cele mai restrictive permisiuni de acces posibile, astfel încât fișierele capcane sau corupte să nu poată fi executate din neatenție sau chiar accesate din părți mai sigure ale sistemului.

General Bytes, se pare, nu și-a luat aceste măsuri de precauție, astfel încât atacatorii au reușit să efectueze o gamă largă de acțiuni de distrugere a confidențialității și de distrugere a criptomonedei.

Activitatea rău intenționată a inclus aparent: citirea și decriptarea codurilor de autentificare utilizate pentru a accesa fonduri în portofele și schimburi fierbinți; trimiterea de fonduri din portofele fierbinți; descărcarea numelor de utilizator și a hash-urilor de parole; preluarea cheilor criptografice ale clientului; dezactivarea 2FA; și accesarea jurnalelor de evenimente.

Ce să fac?

• Dacă rulați sisteme ATM General Bytes Coin, citeste pe cele ale companiei raport de încălcare, care vă spune cum să căutați așa-numitele IoC (indicatori de compromis), și ce trebuie să faceți în timp ce așteptați ca patch-urile să fie publicate.

Rețineți că compania a confirmat că au fost afectate atât serverele ATM de monede autonome, cât și propriile sale sisteme bazate pe cloud (unde plătiți General Bytes o taxă de 0.5% pentru toate tranzacțiile în schimbul faptului că acestea rulează serverele dvs. în locul dvs.).

În mod intrigant, General Bytes raportează că va fi „închiderea serviciului cloud”, și insistând că „va trebui să vă instalați propriul server autonom”. (Raportul nu oferă un termen limită, dar compania oferă deja în mod activ asistență pentru migrare.)

Într-o întoarcere care va duce compania în direcția opusă celor mai multe companii contemporane orientate spre servicii, General Bytes insistă că „Este teoretic (și practic) imposibil să securizeze un sistem care să acorde acces la mai mulți operatori în același timp, unde unii dintre ei sunt actori răi.”

• Dacă ați folosit recent un ATM General Bytes, contactați schimbul sau schimburile dvs. de criptomonede pentru sfaturi despre ce să faceți și dacă vreunul dintre fondurile dvs. este în pericol.

• Dacă sunteți un programator care are grijă de un serviciu online, indiferent dacă este auto-găzduit sau găzduit în cloud, citiți și urmați sfaturile noastre de mai sus despre încărcări și directoare de încărcare.

• Dacă ești un pasionat de criptomonede, păstrați cât mai puțin din depozitul dvs. de criptomonede în așa-numita portofele fierbinți.

Portofelele fierbinți sunt, în esență, fonduri care sunt gata de tranzacționare la un moment dat (poate automat) și, de obicei, necesită fie să vă încredințați propriile chei criptografice altcuiva, fie să transferați temporar fonduri într-unul sau mai multe dintre portofelele lor.

---

• Distribuție de conținut bazat pe SEO și PR. Amplifică-te astăzi.
• Platoblockchain. Web3 Metaverse Intelligence. Cunoștințe amplificate. Accesați Aici.
• Sursa: https://nakedsecurity.sophos.com/2023/03/20/bitcoin-atm-customers-hacked-by-video-upload-that-was-actually-an-app/