„Cold Card“ įsilaužimo atvejų padariniai – 130 milijonų dolerių nuostoliai... Įspėjimas dėl „Treasure“ ir „Foundation“ sukčių schemų

Dėl piktybinio programinės įrangos pažeidžiamumo, naudojamo „Coldcard“ įrenginiuose, piktybiniai užpuolimai sparčiai didėja, todėl „Trezor“ ir „Foundation“ įmonės, gaminančios „hardware“ pinigines, iš eilės išsiuntė įspėjimus savo vartotojams. „Trezor“ pranešė, kad po viešo pranešimo apie saugumo incidentą pastebimai padidėjo bandymų įžeisti vartotojus skaičius, ir pabrėžė, kad duomenų kopijos turėtų būti kuriami tik ant pačio įrenginio, o pati „Trezor“ įranga nėra pažeidžiama. „Foundation“ taip pat pranešė, kad cirkuliuoja el. laiškai, kuriuose įmonė imituojama, siekiant nukreipti vartotojus į suklastotus tinklalapius ir įdiegti kenkšiną programinę įrangą, ir pabrėžė, kad įmonė niekada nepuošė vartotojų reikalavimais atkurti duomenis arba nenurodė įdiegti programinės įrangos, siekiant apsaugoti pinigines. „Proofpoint“ saugos bendrovė rugpjūčio 3 dieną paskelbė apie konkrečią „ColdCard“ vartotojams skirtą „phishing“ kampaniją. Išpuolius vykdančios asmenys siuntė suklastotus el. laiškus, kuriuose teigia, kad reikia atlikti „bendradarbiavį įrenginių patikrinimą“, ir nukreipė vartotojus į suklastotą svetainę, kurioje buvo „Start Hardware Audit“ mygtukas. Paspaudus mygtuką, buvo atsisiunčiamas „batch“ failas, įkeltas į „GitHub“, o per jį buvo įdiegiamas teisėtas nuotolinės prieigos įrankis „ScreenConnect“. „Proofpoint“ teigia, kad tokiu būdu išpuolius vykdančios asmenys gali gauti prieigą prie duomenų ir finansinių išteklių, taip pat gali įdiegti kenkšimas programas, įskaitant „ransomware“. Ypač svarbu, kad suklastotoje svetainėje esančiame klientų aptarnavimo pokalbių lange dirbo ne botas, o realus žmogus, kuris žingsnis po žingsnio padėdavo nukentėjusiems įdiegti programas. „Proofpoint“ mano, kad tai yra veiksminga socialinės inžinerijos technika, kuri pasinaudojo vartotojų saugumo nerimu. Silpnosios vietos šaltinis – 2021 m. kovo mėn. sukurtas programinės įrangos failas. Šiame failų versijoje, generuojant piniginės slaptažodį, vietoj įrenginio atsitiktinumo generatoriaus buvo naudojamas programinis sprendimas, dėl ko privačių klavišų galėjo būti numatyti. „Galaxy Research“ nustatė tris vagysčių bangas, prasidėjusias liepos 30 d., o nuostolių, susijusių su aukšto patikimumo įrenginiais, suma siekė 1596 BTC, kas yra daugiau nei 100 milijonų dolerių. Įskaitant ketvirtąją bangą, kurioje įtariama, kad buvo nukentėjusių, bet jų dar neidentifikuota, bendras nuostolių dydis gali siekti 130 milijonų dolerių. „Galaxy Research“ tyrimų vadovas Alexas Son teigė, kad, išskyrus pirmąją bangą, visos kitos buvo nustatytos gavus nukentėjusiųjų pranešimus, ir kad šiuo metu mažiausiai 15 skirtingų užpuolikų naudoja šią silpną vietą. „Coldcard“ įrenginių gamintojas paskelbė atnaujintą programinės įrangos versiją ir rekomendavo nukentėjusiems naudotojams perkelti lėšas, naudodamiesi naujai sukurtais slaptažodžiais. Šis atvejis yra naujausias atvejis, kai įsilaužėliai taikosi į „hardware“ pinigines naudojančius vartotojus. Šių metų vasarį buvo vykdoma fizinių laiškų kampanija, nukreipta į „Trezor“ ir „Ledger“ vartotojus, kurioje buvo naudojami hologramai ir suklastotos vadovų parašai. Balandį suklastota „Ledger“ programa buvo panaudota, kad būtų pavogti milijonai dolerių, o kovo mėnesį buvo vykdomas puolimas, kuriuo siekta įtikinti kūrėjus, kad jie perėję į suklastotą „GitHub“ puslapį. „Galaxy Research“ įspėja, kad „cold card“ pažeidžiamumas vis dar egzistuoja ir ragina vartotojus nedelsiant perkelti savo lėšas į naują „seed“ arba į saugojimo įstaigą. Yra nerimaujama, kad, kol pažeidžiamumas nebus pašalintas, „phishing“ kampanijų trukmė gali būti ilgesnė.