Topic: Cryptohopper - Paranıza hoplarlar! Gerçek HACK hikayesi - page 2. (Read 693 times)

Binance 2FA kırsalar dahi, mail adresimde 2FA var kısacası bu tuzaktan şu şekilde kurtulursunuz eğer Binance'nin 2FA'larına ulaşılabiliyorsa yani veri çekilen yere gidilebiliyorsa birde mail adresinize 2FA kurun, withdrawal confirm onayı mailinize düşecek, izniniz olmadan asla withdrawal yapılamayacak kısacası diğerine oranla 10x güvenlik sağlayacağını düşünüyorum, üstüne birde ledger gibi fiziksel cüzdanları kullanırsanız bitcoinclip virüsü dışında başka bir virüse denk gelmeniz şu an için neredeyse imkansız.. tam bir güvenlik sağlanamaz ama %99'a kadar sağlanabilir.

Anlayana kadar okudum yazdıklarınızı. Birincide çözmek biraz zor oldu benim için
Vardığım sonuç ise durum epey sıkıntılı. Birden çok borsa kullanıyoruz, botlarımız çalışıyor, sağa sola transfer yapıyoruz. Her ne kadar anonim kalsak da bir yerde gerçek kimliğimizle de varız. Aklıma gelen tek çözüm tüm yumurtaları aynı sepete koymamak ve windowstan uzak kalmaya devam etmek.

Merhabalar,

Öncelikle ilginiz için teşekkür ederim, inanın bu bilgiler için hiç bir beklentim yok.
Arkadaşımızın başına gelen beni derinden üzdü, nasıl bir insan böyle bir hırsızlık yapabilir aklım almıyor. Çaldığı paraları yemek nasip olmasın inşallah.

İki mesaja cevap vermek istiyorum;

Merhaba, malesef siz de konuyu anlamayanlar arasına giriyorsunuz. API Key lerin bir siteye verilmesinde büyük bir sakınca yok, withdraw izni verilmemiş şekilde API keyini verip al sat botunu denemek istemiş sadece. Burada bir problem yok. En fazla düşen bir coini satın alıp zarar ettirebilir o kadar.
Trojanı yemek için gayret göstermemiş, aksine öyle bir kumpas kurulmuş ki, en bilgili insan bile kolayca yakalanabilir. Sakın ha kendinizi çok bilgili sanmayın, benim başıma gelmez demeyin. Dünya şampiyonu yüzücülerin çoğu denizde boğularak ölmüşler, bunu unutmayın.

Merhaba, bu konuyu derinlemesine araştırdık, son 3 günüm bununla ilgili Binance borsasıyla yazışarak geçti. Malesef şimdilik sistemlerinde bir açık olduğunu kabullenecek birisi çıkmadı. Yakında detaylı bir ispat göndererek bir güncelleme ile problemi düzeltmelerini rica edeceğim. Tabii arkadaşımızın parasını geri vermeyecekleri kesin.
Google Authenticator uygulamasını kendisine nasıl kurduğunu buldum, altında ciddi bir iş yatıyor. Bu da gösteriyor ki, bu alemde güvenlik diye birşey yok!
Arkadaşımız bilgisayarında Binance desktop uygulamasını kullanıyor, siteye girmiyormuş. Tam olayın yaşandığı gün binance-trader.exe iki tane exception (hata vermiş). Bu hataları Start/Administrative Tools/Event Viewer altından bulduk ve detaylı inceledik. İşimiz bu olduğu için bunu farkedebildik, normal bir vatandaşın bunu bulabilmesi imkansız gibi birşey.
Binance kendi exe sini .Net dilinde yazmış, .Net ile yazılan (C# yada visual basic .Net) uygulamalar tam anlamıyla güvenli değiller, zira kod derlenirken direkt makine kodu olarak derlenmiyor, CLI adında bir ortak dile çevriliyor. Exe nin içinde ilk sektörde gerçek makine dili barındıran bir başlangıç kodu var, bu kod CLI dilini, bilgisayarda yüklü olan .Net framework kütüphanelerine yorumlattırıp (bir nevi derlettirip) bir exe gibi çalıştırıyor. Yalnız burada bir problem var, CLI dilini başka programlar C# yada VB.Net dillerine geri çevirebiliyorlar. Örneğin Reflector, ILSpy, JustDecompile gibi programlar .Net de yazdığınız exe yi alıp size .sln projesini tüm kodlarıyla beraber dönüştürebiliyor. Burada firmalar yazılımlarını güvenli kılmak için .Net Reactor gibi lisanslı programlar satın alıp, exe yi bu programla geri çevrilemez hale getirmeye çalışıyorlar. Bu programlar kodun içinde bazı dosyaları şifreliyor, sonra şifre çözme rutinleri ekleyip runtime da şifreyi çözüyor ve en önemlisi obfuscation dediğimiz, fonksiyon ve değişken isimlerini anlamsız karakterlerle değiştirme işlemini gerçekleştiriyor. Faydası ise örneğin Get_2FA_Phrase(String username) adlı bir fonksiyonun adını _llz(String x) haline getiriyor olması, yani kodu geri çevirip okuduğunuzda program napıyor anlamıyorsunuz ama Debug etmenize engel değil!
Tabii ki kodun içindeki programlama diline bağlı atomik kelimeler (for, while, if, break, return..) olduğu gibi kalıyor yada bunlar için de definition yaratıp bunları da değiştiriyor ama o definition da erişilebilir olduğu için bir text editörde replace all yapıp geri getirilebilir.
Şimdi bunları neden anlattığıma gelirsek; hacker binance-trader.exe yi decompile etmiş, debug etmişe ve 2FA program akışının hangi RAM adreslerini kullandığını tespit etmiş, RamMap benzeri programlarla RAM haritasını inceleyerek 2FA Recovery Phrase i nerede tuttuğunu öğrenmiş diye düşünüyorum. Çünkü Event Viewer da verdiği hatadaki adres bir RAM adresi ve aynı işlemleri biz tekrarladığımızda, web servisten veri çeken bir yere ulaşıyoruz. Bu da demek oluyor ki binance-trader.exe dosyası 2FA yı doğrulamak için Google Authenticator API sine 2FA Phrase i (yani kullanıcının kimlik numarasını) ve şu anda girdiği kodu göndermek zorunda ve bu 2FA Phrase bilgisini kendi web servisinden çekiyor. İşte hacker bu anda RAM de tutulan bu bilginin adresini bildiği için direkt okuyor ve kendine kurduğu Google Authenticator uygulamasına 2FA Phrase i yazarak artık binance ın 2FA adımını aşabiliyor, istediği kadar withdraw yapabiliyor. Zaten olayda 2 tane withdraw işlemi var. Yani 2FA yı kesin olarak geçmiş.

Ortada bir gerçek var ki, çalınan para, transfer edildiği cüzdanlarda hala duruyor ve kayıtları aşağıda;
btc.com/1Ej5hfcqJqt178wcLWBocPXec9ZoacktG8
btc.com/1DwYL4MRNEMFvx6dCQFzEgFaZ2457naEez

binance-trader.exe, web sitesinden çok daha güvenli ama onu bile kırmışlar. Web sitesi ise bir çok tuzak için müsait. Aslında Binance bu uygulamayı .Net yerine Qt de yazsaydı işler farklı olabilirdi.

Bir diğer senaryo, örneğin hesapta SMS de aktif olsaydı, yine parayı çalacaktı çünkü girişte SMS VEYA 2FA dan birisi seçiliyor, ikisi birlikte sorulmuyor. Bu da aslında hem SMS hem 2FA aktif edildiği zaman güvenliğinizi 2 kat tehlikeye atıyor, hacker telefonu ele geçiririrse YADA 2FA yı aşarsa giriş yapabiliyor, yani ihtimaller arttı!

Sonuç olarak adamlar güvenlik falan tanımıyor. Yaptıkları virüsleri antivirüs programları algılamıyor, firewall lar engellemiyor..

Bunu yapanın sadece bir tane site olduğunu sakın düşünmeyin, artık youtube da bir video izlerken bile altta çıkan reklamın içinde çalışan javascript kodu sizin bilgisayarınıza envai çeşit virüs yüklüyor olabilir.
Sizin paranız olduğunu öğrendiyse artık kaçacak yeriniz yok.

Eğer online bot yada benzer servislere API key verecekseniz, asıl kullandığınız borsanınkini vermeyin, mesela Binance kullanıyorsanız, Poloniex de bir hesap açın ve oraya minimal bir miktar aktarın, Poloniex API keyini verin ki birileri hesabınızdaki tüm parayı görmesin.
Tüm paranızı da tek borsada tutmamaya çalışın. Birini çalsalar diğeri kalır en azından.

İnternette binlerce haber var, o kadar çok BTC hırsızlığı yaşanıyor ki, günde binlerce kişinin parasını çalıyorlar. Hemde bu kişilerin bazıları ciddi bilgisayar programcıları falan ama yine de kurban oluyorlar.

Biraz olsun sizi tedirgin edebildiysem ne mutlu.
Ana başlıkta anlatılan kontrolleri yapmayı unutmayın, belki siz de biryerden virüs kapmış olabilirsiniz.

Bu kısım şuanda bana daha çok uyuyo sanki 

Neyse işi öğrenene kadar Bounty kasmaya devam.Teşekkürler bilgiler için.

güzel bir yazı olmuş ellerine sağlık bilmeyen arkadaşlara yol göstermiş oldun en azından.

Öncelikle geçmiş olsun.
Ayrıntıları ile durumu anlatmış olmanız gerçekten önemli.
Konuya yabancı arkadaşların bilgilenmesi açısından değerli bir post olmuş.
Ben kullanıcılara Linux kullanmayı tavsiye ediyorum bu nedenle.

Cryptohopper-com milleti soyuyor deyip geçmektensen en ince detayına kadar anlattığınız için teşekkür ederim. Hırsızın düşünce şeklini ve teknik olarak nasıl yapılabildiğini biliyor olmak biz kullanıcılar için çok önemli bir şey. Ellerinize sağlık.

Uyarı için çok teşekkürler. Bu alanda yeni olan ve bu tür tuzaklara düşebilecek insan sayısı oldukça fazla. Çok dikkatli olmalıyız. Bir işlem yapmadani bir siteye üye olmadan önce orası hakkında kısa bir internet araştırması yapmak faydalı olacaktır.

keylerinizi güvenliği kesin olmayan bir siteye verip hack hikayesi diyorsunuz
bunu neresi hack.trojan yedirmeye çalışmıyor baya bildiğin trojani yemek için gayret göstermişsin adamların emek harcamasına bile gerek kalmamış.

Her şeyi anladım ama Google Authenticator nasıl hackerlerin eline geçiyor? Kod 15 saniye de bir falan değişiyor ve kişi 1 kere Google Authenticoru girdi ve hesaba aynı anda sızdı diyelim.. Kendine withdrawal yapması için 1 kere daha o koda ihtiyacı olacak o kod nereden sağlanıyor?

Hiç bir bota veya bot sitesine güvenmem . İki tane virus koruması kullanıyorum , şifrelerimde çok zor fakat yinede risk altındayım .

Benim başıma böyle bir iş gelse, ben bilgisayarı temizlemekle uğraşmam, doğrudan üzerine kezzap döküp.... Şaka şaka, başka bir disk ya da USB ve hatta mümkünse CD'den işletim sistemini tekrar kurar, kurulum aşamsında diski en az 2-3 kere formatlardım.

Windows yerine Linux ya da MacOS kullanmak tabi ki %100 çözüm değil ancak bir nebze daha güvende olmanıza yardımcı olabilir.

Ama en güzel tavsiyeyi yine mesajı yazan vermiş.

Uyarılar yöntemler için çok teşekkürler. çok dikkat etmek gerek bunlara yazı uzun insanların bir çoğu okumuyacaktır belkide. meritim olsa meriti verdim zaten 1 tane vermişlerdi .

Merhabalar,

Dikkat : Zaten üye misiniz? - Hemen başka bir bilgisayar yada mobil cihazdan e-mail ve borsa şifrelerinizi değiştirin, bilgisayarın internetini kesin ve okumaya devam edin.

Önemli bir güvenlik konusu için bu başlığı açmak istedim.
Bu foruma üye olduktan sonra gördüm ki burada sınırlı internet bilgisi ile yatırım yapan arkadaşlarımız var.

Gerçek bir hack örneği üzerinden giderek, ne yapmamanız gerektiğini açıklamaya çalışacağım.
Eminim tecrübeli arkadaşların da bu konuda söyleyecek sözü vardır.

Konuya geçecek olursak;

Cryptohopper-com bir al-sat bot sitesi olarak lanse ediliyor ve yeni gelenler için 1 ay ücretsiz kullanım imkanı sunuyor.
Fakat bunun altında gerçekten iyi niyet yok, aksine tüm paranızı çalmak için bir düzen kurulmuş.
Sonuçta da eğer hacker seviyesinde birisi değilseniz, paranızı çaldırdıktan sonra dahi bu siteden şüphelenmezsiniz.

Adım 1:
Siteye meraklı bir şekilde üye olanlar al-sat için borsa API keylerini veriyor ve botun ayarlarıyla oynayıp sabaha 2x 10x yapacaklarını düşünmeye başlıyor.
Oysa bu sitenin amacı bot hizmeti sunmak değil, sizin bilgisayarınıza sızıp, borsa şifrelerinizi ele geçirip paranızı çalmak.

Adım 2:
Site normal bir bot sitesi gibi görünürken, arkada çalışan scriptler bilgisayarınıza 1 tane dosya yüklüyor. Bu dosya trojan diye tabir ettiğimiz, bilgisayarınıza uzaktan erişim imkanı sağlayan bir virüs.
Hiç bir antivirüs veya güvenlik yazılımı bunu algılamıyor, çünkü bilinen bir virüs yazılımı değil.
Yüklenen dosya Start/Başlat > Startup/Başlangıç kısmına konumlandırılıyor ki bilgisayar her başladığında o da çalışsın.

https://i.hizliresim.com/lONJ1Q.png
Dosya adı : winsvc.exe - Teamviewer iconu ile gelen bu dosya sanki windowsa ait bir dosya gibi isimlendirilmiş fakat öyle değil.
Bu dosyayı web sayfasındaki scriptler yükleyebiliyor fakat hemen çalıştıramıyorlar, o yüzden Startup/Başlangıç kısmına konumlandırılıyor ki, Windows bir dahaki açılmada bu dosyayıda sessizce çalıştırsın.

Adım 3:
Tabii ki bir daha windows açıldığında kurban hemen Cryptohopper sitesine girip botunun ne kadar kazandığını görmek ister.
Sitenin scriptleri winsvc.exe dosyasının yüklendiğini ve kurbanın bilgisayarında çalıştığını algılıyorlar (eğer exe kendisi bildirim yollamaya kalksa hemen antivirüs tarafından enselenirdi) ve sitenin adminine bir uyarı maili gönderiyorlar.

Adım 4:
Sitenin admini, IP numarasını bildiği bu bilgisayara winsvc.exe nin açtığı port üzerinden bağlanıp bir klasör yüklüyor.
Klasör adı : SWF Frame Renderer

https://i.hizliresim.com/RnpmOZ.png

Bu klasör Adobe klasörünün altına konumlandırılmış, sanki Adobe firmasının bir programı gibi görünüyor.
Tabiki bu programı da hemen çalıştırırsa antivirüs yakalar o yüzden Startup/Başlangıç içine bir kısayol oluşturuyor;

https://i.hizliresim.com/lONJ1Q.png
Kısayol adı : usvc32.lnk
Kısayol hedefi:
Yani sessizce swfrenderer.exe dosyasını çalıştır diyor.
swfrenderer - Birkaç amaca hizmet eden bir keylogger, şifre çalıcı. Klavyeden girilen her harfi inceliyor ve 2FA keyleri dahil hangi programa hangi veriler girildiyse hepsini logluyor ve yanındaki dosyalara yazıyor.

Adım 5:
Chrome browser ı altına bir dosya yerleştirip kurbanın giriş yaptığı sitelerin şifrelerini, önceden kayıtlı duran şifreleri çalmak ve bir sonraki pishing adımı için bilgisayarı hazırlamak için işlemler yapılıyor.

chrmstp.exe - Bu dosyanın modifiye edilmişini bilgisayardaki Chrome tarayıcısındakiyle değiştiriyorlar.
Dosya :
Bu dosya ile tüm web şifrelerini çalacakları gibi, aynı zamanda SMS ve 2FA korumalı olan Gmail, Hotmail, Yandex, Binance, Poloniex, Bitfinex, Bittrex, Gdax gibi sitelerdeki şifreleri de ele geçirecekler.

Bu adımlar tamamlandıktan sonra aksiyon başlıyor;

Adım 6:
Kurban bilgisayarı kullanırken ve özellikle Cryptohopper sitesinin sayfalarında gezinirken birden Chrome browser kapanıyor!
Tekrar açtığında ise bu Chrome o Chrome değil! Varsayılan beyaz görünümde ve tüm açık tabları ve şifreleri herşeyi unutmuş şekilde geliyor.
Tabiiki kurban hemen e-mail, borsa veya girdiği diğer sitelere giriş yapmaya başlıyor.
Verileri girdikçe keylogger tarafından bu bilgiler kopyalanıyor.
Yeni Chrome da başka bir özellik daha var; Örneğin mail adresine girmek için gmail.com yazıp enter a basıldığında adres çubuğunda gmail.com görünüyor ama arkada gmail görünümlü farklı bir sayfaya yönleniyor.
Kurban o sayfaya şifresini giriyor, sonra SMS geliyor, SMS kodunu giriyor ve bam, hacker ile birlikte gmail hesabına giriş yapmış olunuyor!
Sonra Binance yada diğer borsa sitesine giriş işlemi de yine aynı şekilde kopyalanıyor.

Adım 7:
Loglanan e-mail ve borsa şifreleri ile birlikte Google Authenticator bilgileri de hackerın eline geçiyor. Hacker kendine kurbanın Google Authenticator uygulamasını kuruyor.

Binance login:

https://i.hizliresim.com/oONGDR.png
Gmail login:

https://i.hizliresim.com/1JZ1z5.png

Adım 8 - SON:
Hacker, e-mail sitesinde borsadan gelecek maillerin inboxa düşmemesi için kural oluşturuyor. (eğer görülürse iptal edilir diye)

Borsadaki tüm coinleri satılıyor.

https://i.hizliresim.com/4aV7dp.png

BTC olarak withdraw sekmesinden başka bir hesaba transfer ediyor.

https://i.hizliresim.com/z0p88O.png

1.3BTC - 60 bin TL civarı para buhar oldu gitti.

-------------------------------------

Bu olayda da görüldüğü gibi, bedava bitcoin fare kapanında olur.

Pishing ile nasıl 2FA yı geçtikleri konusunda detaylı yazı : https://www.wandera.com/blog/bypassing-2fa/
Güvenlik için altın öğütler : https://steemit.com/binance/@czbinance/securing-your-trading-account

Nasıl temizlenir?
Nasıl temiz tutulur?
En kesin çözüm o bilgisayarı komple formatlamaktır. Eğer başınıza geldiyse zaten bunu yapmanız önerilir. Bazen bilgisayarı formatlamak o kadar kolay olmaz, zira başka yazılımlar lisanslar vardır...
Şimdi gelelim böyle bir virüs topluluğunu bilgisayardan nasıl silebileceğinize;
Aynı zamanda böyle birşey başınıza gelmeden de bunu yapmanız önem arz ediyor.
Öncelikle böyle bir şüpheniz varsa, elinize kağıt kalem alıp kafanızdan karmaşık bir şifre türetin (örnek : 2@!!xCj%!45pG+21_) ve kağıda yazın.
Başka bir cihazdan (o bilgisayardan değil), hesaplarınızın şifresini bu şifre ile değiştirin fakat şifrenin sonuna da o hesabınızın birkaç harfini yazın ki her şifre farklı olsun.

Aşağıdaki dosyaları kontrol edin, bilgisayarınızda varsa silin:
c:\users\\AppData\Roaming\Adobe\SWF Frame Renderer\swfrenderer.exe
c:\programdata\ntuser.pol
c:\users\\AppData\Roaming\2.exe
c:\program files\Common Files\Microsoft Shared\OFFICE16\LICLUA.EXE
c:\program files\Common Files\Microsoft Shared\OFFICE16\Office Setup Controller\pkeyconfig.companion.dll
c:\program files\Common Files\Microsoft Shared\Source Engine\OSE.EXE
c:\program files (x86)\Google\Chrome\Application\58.0.3029.81\Installer\chrmstp.exe
Bu klasördeki dosyalardan şüpheli olanları yada tümünü silin:
c:\Users\\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup

Virüs temizlemede faydalı yazılımlar :
Buradaki sıraya göre çalıştırıp tarama yapmanız önerilir.
Ve evet sadece birkaçı ile taramak yetmez.
RKill - https://www.bleepingcomputer.com/download/rkill/
TDSKiller - https://usa.kaspersky.com/downloads/tdsskiller
AVG Removal Tool - https://www.avg.com/en-gb/utilities
AdwCleaner - https://toolslib.net/downloads/finish/1/
FRST - https://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/
JRT - https://www.bleepingcomputer.com/download/junkware-removal-tool/
ComboFix - https://www.bleepingcomputer.com/download/combofix/
RogueKiller - https://www.bleepingcomputer.com/download/roguekiller/
Chrome Cleanup Tool Download - https://www.bleepingcomputer.com/download/chrome-cleanup-tool/
Malwarebytes Anti-Ransomware - https://www.bleepingcomputer.com/download/malwarebytes-anti-ransomware/
Malwarebytes Anti-Rootkit - https://www.bleepingcomputer.com/download/malwarebytes-anti-rootkit/
Malwarebytes Anti-Malware - https://www.bleepingcomputer.com/download/malwarebytes-anti-malware/
CCleaner - https://www.bleepingcomputer.com/download/ccleaner/
Microsoft Security Essentials - https://www.microsoft.com/en-us/download/details.aspx?id=5201

Antivirüs kullanın:
Tavsiye BitDefender Internet Security
30 Gün deneme sürümünü kurup bilgisayarınızı temizleyebilirsiniz.

Akıllı telefonunuza da antivirüs kurun:
Yine BitDefender kurup tarayabilirsiniz.

Kripto işleri için en güvenli ortam nasıl oluşturulur?
- Tüm hesaplarda 2FA, SMS ve diğer tüm özellikleri aktif edin
- Withdraw zorlaştırıcı önlemler alın
- Günde onlarca defa borsalara login olmayın
- Bilgisayarlarınızı kullanmadığınız zaman kapatın
- Paranızı birden fazla borsaya yayın
- Her borsa için ayrı bir mail adresi kullanın
- Her hesap için tamamen farklı bir şifre kullanın
- Şifre kaydetme seçeneğini kapatın
- Chrome kullanmayın, Firefox yada Opera kullanın
- Kripto işleri için ayrı bir browser kullanın
- Browserda hiç bir eklenti bulundurmayın
- Browserı bir tema ile kullanın, özelleştirin, rengiyle oynayın şekliyle oynayın, sonra farklı birşey gördüğünüzde kolayca farkedebilirsiniz.
- Borsaya yada e-maile girmeden önce bilgisayara bir virüs taraması yapın
- Bedava şeyler vadeden sitelere girmeyin
- Kimseye Bitcoininiz olduğunu söylemeyin
- Kripto işlemleriniz için şifreli bir VM (Virtual Machine) kullanın : Linux olması önerilir
- Windows bilgisayarınızda 2 kat daha dikkatli olun
- Bilgisayarınıza kurduğunuz yazılımlara dikkat edin
- Kripto işlemleri için kullandığınız yazılımları açık kaynak olanlardan seçin
- Belli sürelerle şifrelerinizi periyodik olarak değiştirin (Örneğin sonlarına birkaç karakter ekleyin)
- Şifre saklamak için kağıt kullanabilirsiniz, şifreleri bilgisayarda bir txt ye yazıp bırakmayın
- Eğer txt lerde şifre saklamak istiyorsanız, bu dosyaları WinZip ile şifreli olarak sıkıştırıp saklayın. Dosyayı da bir USB flash da tutmanız önerilir
- Girdiğiniz sitelerin adreslerine ve güvenlik sertifikalarına dikkat edin (adres çubuğundaki anahtar simgesi)
- Telefonunuzu jailbreak yada root yapmayın. Orjinal işletim sistemiyle temiz bir şekilde kullanın
- Virüs temizleme yazılımlarını periyodik olarak veya her şüphede tekrar çalıştırıp tarama yapın
- Sadece kripto para değil, bankadaki paranızın da aynı yöntemle çalınabileceğini sık sık hatırlayın

Önemli tavsiye : burada anlatılanları anlayacak kadar bilgisayar bilgisine sahip değilseniz, lütfen borsalardan uzak durun.