Topic: Осада Биткоин кошелька Electrum (Read 436 times)

Вот это тема я понимаю, а я думаю что этот электриум так часто обновляется уже надоел, сносить его по хорошему нужно и бед незнать.

Будьте внимательны!

Сейчас идет активная публикация фишинговых ссылок на Github в разделе Issues (Issues - это комментарии/предложения/обсуждение проблем).

Есть случаи и на Bitcointalk, через ПМ:
https://bitcointalksearch.org/topic/m.51079853
https://imgur.com/a/pm2ZyFG

Пытался прочитать всю статью ,так и не смог .Спасибо что выделили главный способ обезопасить себя .У самого електрум и раньше  даже не парился .Теперь нужно будет почитать побольше про них про защиту .

Материал, вероятно, будет интересен тем, кто хочет разобраться, что произошло. Но главное знать не как это было (это можно и не знать), а как не попасться на эту удочку. Поэтому я еще раз процитирую, на мой взгляд, главную фразу в теме (ее можно не заметить в длинной простыне):


Этот совет трудно переоценить. Если всегда проверять подпись файла, то подобные фишинговые атаки навредить не смогут. Потратьте один раз немного времени, чтобы научиться, как правильно это делать. Этот навык просто необходим всем пользователям электрума (и не только).

Исправлено.

Автор наверное дальний родственник Ванги. 
Замечу что все к чему прикасается Microsoft - теряет качество, вот и очередь GitHub-а настала.

WOW. Это чего, привет из будущего?

резерв

продолжение...

(IOCs) Известные показатели компрометации

Известные контрольные суммы SHA256 кошельков Electrum с вредоносом:


Поддельные Electrum домены:


Bitcoin адреса злоумышленников:

Мошеннические / вредоносные цифровые сертификаты (только для Windows)



Контрольная сумма набора эксплойтов RIG


Контрольная сумма вредоносного файла transactionservices.exe (кошелек Electrum)


IPs (хост и конфиги)

продолжение...


И действительно, транзакция содержит некоторые закодированные данные, которые, скорее всего, хранятся как часть Multisig-транзакции:

Хотя точное назначение данных, хранящихся с использованием OP_RETURN, неизвестно, это не имеет большого значения, и мы все еще можем следить за движением BTC Вариант 2, чтобы узнать их пункт назначения:


Следующий по величине выход 1.96991794 из предыдущей транзакции обозначен идентификатором f5abb14ffc1d57494934d10a2114b2e4fc812b7e18f73d0f6202a995d2bea1be, который содержит 445 входов на общую сумму 100.02103004 BTC.


Эти 100 BTC затем перемещаются на 1NDyJtNTjmwk5xPNhjgAMu4HDHigtobu1s, известному адресу горячего кошелька Binance. Давайте кратко рассмотрим пункт назначения 36.38011271 BTC, о которых мы упомянули ранее. В целях краткости мы следуем аналогичным путям отслеживания средств, поскольку они разделены таким же образом, как и выше:


Как видим, 25,8 BTC отправляются на адрес «3MRqgoPe6vBNVEn9Fo85qK7zvaLb9e9T2x». Многие адреса, связанные с этим кошельком, каким-то образом связаны с SCAM-сайтами, так называемые "Биткоин-удвоители".

3FF1uZ5oEaSZYKCvGbywu39djsknrGeu96 – Continvest
3AxHFZ2ivJUBgveyNj1PQak6FsKBcLJ42N – Bitcoin Doubler


Поскольку маловероятно, что вы сможете просто удвоить любое количество отправленных вами биткойнов на какой-то адрес, скорее всего, что эти веб-сайты существуют для того, чтобы предлагать другую функцию, своеобразный Биткоин миксер / отмывание средств для преступников.

Контрмеры

Столкнувшись с такой широкомасштабной атакой на свою пользовательскую базу, разработчики Electrum решили использовать ту же самую уязвимость, чтобы отобразить законное уведомление об обновлении. Однако этого было недостаточно чтобы остановить злоумышленников, поэтому позже Electrum решил провести атаки типа «отказ в обслуживании» против своих собственных пользователей, чтобы они не могли подключаться к мошенническим узлам.


Список атакующих IP-адресов (состоящий из 72977 на момент написания) и постоянно обновляется. Это число почти утроилось в течение недели, подтверждая, что атаки растут чрезвычайно быстрыми темпами.


Вредоносные программы, стоящие за ботнетом и DDoS-атаками

Несмотря на то, что точный размер ботнета не известен, мы смогли узнать больше о том, как пополняются ряды сети ботнет. Мы столкнулись с вредоносным программным обеспечением и двумя различными способами заражения. Первый способ через бэкдор Smoke Loader, а второй через набор эксплойтов RIG.

Во втором случае вредоносная реклама перенаправляла на набор эксплойтов RIG и в конечном счете, предлагала загрузчик, который выглядел как майнер, но на самом деле представляет собой вредоносное ПО, превращающее зараженные компьютеры в отдельных ботов для атак на серверы Electrum.


Мы видим, как загрузчик собирает список узлов Electrum для атаки с использованием нескольких общедоступных адресов кошелька. Каждая зараженная машина начнет атаку на официальные/законные ноды Electrum.


Он загружает большой файл (> 40 МБ), который представляет собой скомпилированный Python-код (transactionservices.exe) для кошелька Electrum, и записывает его на диск.


Он также добавляет подпроцесс transactionserviceshelper.exe в автозагрузку, путем добавления записей в реестр Windows.


DDos атаки на серверы ElectrumX

Эта атака заключается в отправке большого количества SYN-запросов на подключение по протоколу TCP в достаточно короткий срок на серверы ElectrumX через порт 50002 или 50001, как видно из следующего захвата трафика:


Мы также заметили другой тип пакетов TCP spurious retransmission. (Spurious retransmission – это повторная передача тех данных, прием которых получатель уже подтвердил.)


IP-адрес лабораторного компьютера, который мы использовали для детонации (запуска и теста) вредоносного ПО, попал в черный список в том же обновленном списке клиентов, которые атакуют серверы Electrumx, упомянутые выше, что подтверждает наше временное присутствие в этом ботнете.



Будущие атаки

Любой, кто следит за развитием криптовалюты, знает, что их ждет "веселая поездочка". Злоумышленники использовали уязвимость в самом популярном биткоин кошельке, чтобы создать ловкую фишинговую атаку, которая за несколько месяцев принесла им более 3 миллионов долларов США. Другие преступники возьмут это на заметку.

Когда Electrum ответил на атаку, чтобы уменьшить количество жертв от этой кражи, преступники ответили продолжительными DDoS атаками. Скорее всего, между двумя сторонами была некоторая вражда, но, поскольку ботнет продолжает отключать законные узлы Electrum, у мошенников есть возможность продолжить порочный цикл, предлагая поддельные обновления и пополнять ряды жертв своих махинаций.

Люди использующие собственные Electrum серверы могут противостоять DDoS атакам различными способами. Они могут настроить планировщик cron для систематичного обновления и блокировки атакующих IP-адресов. Они также могут создать правила в iptables для ограничения скорости попыток подключения к известным портам, которые подвергаются атаке. (по всей видимости имеется ввиду Fail2ban).

Пользователям кошелька Electrum необходимо обновить программное обеспечение до последней версии (3.3.4 (на момент публикации)) из официального репозитория (ссылки удалил) и быть особенно осторожными с обновлениями или другими сообщениями.

Malwarebytes обнаруживает вредоносные кошельки для Mac OS X как OSX.ElectrumStealer и Electrum.Stealer для Windows.

---

(от себя: перед установкой обязательно проверяйте PGP подпись инсталяшки или портативного кошелька, есть тема на форуме в Новички "PGP Подпись - Шифровка / Дешифровка сообщения", и куча информации в сети на эту тему)

---

С конца декабря 2018 года многие пользователи популярного кошелька Electrum Bitcoin стали жертвами серии фишинговых атак, в результате которых, по нашим оценкам, были похищены более чем 771 биткойна, что составляет сумму, эквивалентную приблизительно 4 миллионам долларов США по текущему обменному курсу.

Используя уязвимость в программном обеспечении Electrum, злоумышленникам удалось обмануть пользователей, убедив их загрузить и установить вредоносную версию кошелька. В результате, в феврале разработчики Electrum решили использовать тот же недостаток в своем программном обеспечении, чтобы перенаправить пользователей для загрузки последней исправленной версии программы. Программное обеспечение было в такой беде, что в марте разработчики начали использовать еще одну неизвестную публике уязвимость, по сути заставить пользователей обновить программу и тем самым предотвратить появление фишинговых сообщений, чтобы они не подключались к вредоносным узлам.

Вскоре после этого ботнет начал распределенные атаки типа «отказ в обслуживании» (DDoS) на серверы Electrum, это было, как считается, ответным ударом за то, что разработчики пытались исправить баг. Сценарий был прост, при помощи DDoS загрузить легитимные ноды так, чтобы клиентам с все еще не обновленной версией программы приходилось подключаться к вредоносным узлам.

В этой статье мы расскажем о фишинг-схеме, используемой для распространения вредоносного обновления Electrum, обсудим, куда ушли украденные средства, и, наконец, рассмотрим заражение вредоносным ПО, непосредственно связанное с ботнетом и DDoS.

Electrum wallet 101

Для лучшего понимания того, как эти атаки стали возможными и настолько успешными, полезно иметь общее представление о том, как функционирует кошелек Electrum.

Известный как «облегченный» биткойн-кошелек, Electrum реализует разновидность методики, описанной Satoshi Nakamoto’s в белой книги Биткоина (в оригинале ссылка ведет на сайт с доменом .com, правильная ссылка - https://bitcoin.org/bitcoin.pdf) под названием «Упрощенная проверка платежей» (SPV). SPV позволяет пользователю отправлять и получать транзакции, не загружая весь блокчейн биткоина (размер которого составляет сотни гигабайт).

Вместо этого Electrum работает в конфигурации клиент/сервер. Кошелек (клиент) по умолчанию запрограммирован для подключения к сети одноранговых узлов (сервер), чтобы убедиться, что транзакции действительны.

Хотя исторически это был довольно безопасный метод ведения транзакций, злоумышленники воспользовались тем, что публичную ноду Electrum может запустить абсолютно любой человек. Как показано ниже, произошло значительное увеличение числа активных пиров в сети Electrum:

Поддельное уведомление об обновлении кошелька Electrum

26 декабря 2018 года разработчик Electrum опубликовал публичное предупреждение на официальной странице GitHub, предоставив некоторую информацию об атаке:

https://github.com/spesmilo/electrum/issues/4968#issue-394260722

В основном была использована Sybil attack (Атака Сивиллы) - вид атаки в одноранговой сети, в результате которой жертва подключается только к узлам, контролируемым злоумышленником.


Если пользователь подключался к вредоносному узлу (с высокой вероятностью) и пытался отправить транзакцию через него, то, благодаря уязвимости в Electrum позволяющей принимать и отображать HTML/rich текст, получал фальшивое уведомление об невозможности транзакции и необходимости обновления:


На втором этапе атаки пользователь устанавливает вредоносную версию кошелька Electrum. Два различных мошеннических проекта были активны на Github примерно с 21 по 27 декабря 2018 года.


Вредоносные кошельки Electrum

В практических целях мы будем называть следующие вредоносные программы Вариант 1 и Вариант 2, однако дальнейшие исследования показали, что участники этой конкретной кампании действуют уже довольно давно. Таким образом, представляется вероятным, что до 21 декабря 2018 года существовали другие разновидности этой вредоносной программы. Варианты 1 и 2, по-видимому, эксплуатировались различными участниками, основываясь на нескольких различиях в вредоносной программе.

Вариант 1

Вариант 1 уникален тем, что авторы вредоносной программы реализовали функцию загрузки украденных приватных ключей кошелька и SEED данных на удаленный сервер. Были предприняты дополнительные меры для обеспечения того, чтобы эта функция оставалась скрытой, при помощи обфускации (запутывание кода) исходного кода внутри файла под названием (initmodules.py) которого обычно нет в стандартной, легитимной программе Electrum.


Как уже упоминалось, внедренные вредоносные домены не видны в приведенном выше коде и вместо этого создаются во время запуска вредоносного программного обеспечения. Эта техника используется злоумышленниками для того, чтобы код, содержащийся в файле initmodules.py, казался легитимным.

В дополнение к краже данных кошелька, любой баланс, присутствующий в кошельке, отправлялся на один из нескольких заранее запрограммированных публичных адресов под контролем злоумышленников. Выбранный адрес зависит от формата адреса, используемого кошельком Electrum зараженного пользователя.

Pay-to-PubkeyHash (P2PKH) используются по умолчанию во время установки программы и является основной формой совершения транзакции и наиболее распространенным методом в сети Bitcoin которая используется обычным пользователем. Это становится очевидно при просмотре активности каждого адреса.


Вариант 1 - общая сумма в биткоинах: 218.1527981 BTC
Вариант 1 - общая сумма в USD: ~$1,101,034.00



Все вредоносные домены, обнаруженные во время нашего анализа Варианта 1, были созданы одновременно и связанны с IP-адресом 31.31.196.86. Этот адрес принадлежит Reg.ru, хостинговой компании, базирующейся в Москве, Россия. Вариант 1 также уникален тем, что установочные файлы Windows имели цифровую подпись, в отличии от последующих вариантов.


Интересно, что цифровой сертификат, используемый для подписи одного из вредоносных файлов Windows Electrum (EIZ Ltd), недавно использовался для подписания другого, несвязанного с этой атакой вредоносного ПО.

Вариант 2

Поскольку Вариант 1 был настолько успешным в краже значительных сумм Биткойна, казалось почти неизбежным, что вскоре будут еще попытки заработать на этой достаточно простой схеме. И конечно же, появился второй вариант вредоносных кошельков Electrum. Этот вариант атаковал довольно агрессивно, обгоняя сеть Electrum и приводя к краже большего количества биткойнов, чем Вариант 1.

Вместо перенаправления жертв на вредоносный Github сайт, Вариант 2 размещал вредоносные ссылки на загрузку в домене который был аналогом официального сайта Electrum. Содержимое HTML по сути являлось зеркальным копией оф.сайта Electrum.


Похоже на то, что злоумышленники очень хорошо разбираются в коде Electrum. К примеру, в поддельной версии ПО, они отключили автоматическое обновление, удалили запросы на подтверждения, такие как «Да, я уверен», и даже отключили возможность RBF (замена существующей транзакции новой транзакцией с повышением комиссии).


Replace-by-Fee - это функция, которая была добавлена ​​в кодовую базу биткойнов позже в процессе разработки, которая позволила бы пользователям по существу создавать Двойную трату (Double spending) в Electrum. В этом случае, если вы знали об этой функции, то могли бы отменить перевод украденных средств, используя более высокую комиссию.


Ниже приведен модифицированный исходный код файла paytoedit.pyc, который был использован для перенаправления платежей на биткойн-адрес злоумышленника:



Вариант 2 - общая сумма в биткоинах: 637.7264 BTC
Вариант 2 - общая сумма в USD: ~$2,950,555.00

Куда делись все украденные биткоины?

Простой анализ блокчейн транзакций показывает, что средства, украденные Вариантом 1 были разбиты на меньшие суммы. Сумму 48,36 BTC сначала перераспределили по 3,5 BTC, а потом по 1,9 BTC.

Такая модель, вероятно, свидетельствует о том, что был использован метод отмывания денег, известный как смурфинг (smurfing). 1,9 BTC это приблизительно 7000 долларов США, депозиты на эту сумму вряд ли вызовут вопросы и повлекут за собой подачу отчета в FinCEN, поскольку эта сумма находится ниже порога в 10 000 долларов США. (Структурирование (разделение, смурфинг). Большой объем наличных нелегальных средств разбивается на множество мелких сумм (к примеру, до 10 тыс. долларов в США).)


Наконец, 11 транзакций, показанных выше, объединяются с дополнительными 15 транзакциями перед отправкой на 329nUnJxz5zgr4vnNPu8JNwpa3qEJfucQX, адрес, который является частью хорошо известного горячего кошелька криптовалютной биржи Bitfinex.



В воскресенье, 14 апреля, мы заметили, что злоумышленники которые стояли за Вариантом 2, только что перевели сумму 114.61050153 BTC (более полумиллиона долларов):


Многие движения украденных средств из Варианта 2, похоже, следуют аналогичной схеме. Давайте посмотрим на недавний вывод 38.38517511 BTC с адреса злоумышленника “bc1qhsrl6ywvwx44zycz2tylpexza4xvtqkv6d903q”. Транзакция всегда делится на 2 выхода:


Держим в памяти транзакцию 36.38011271 BTC, к которой мы еще вернемся, давайте сначала проследим за транзакцией в 2.0050624 BTC по адресу «1BCtXcP3gc7FygZMegeKUPsogo68aKRSPA», за которым следует перевод на «1wotccCFTuLQdCv46Bz3zqcosDCDwAWhd». Мы видим транзакцию, содержащую 2 выхода, в которых адрес «3DvWYYkzgHbyBgUTSjtPsLmkzs1R9frSrz» получает все средства. Другой вывод с именем «not-address» - это то, что известно, как скрипт OP_RETURN. Этот скрипт обычно используется для записи данных в блокчейн.