Τι συνέβη;
Η εταιρεία ασφαλείας SlowMist, που ειδικεύεται στα κρυπτονομίσματα, εξέδωσε προειδοποίηση για ένα αρχείο που διαδίδεται ως "Cracked TradingView Premium", δηλαδή μια παράνομη, σπασμένη έκδοση του επί πληρωμή πακέτου της δημοφιλούς πλατφόρμας συναλλαγών TradingView. Σύμφωνα με τη SlowMist, δεν πρόκειται για λειτουργικό δωρεάν λογισμικό, αλλά για malware (κακόβουλο πρόγραμμα) που στοχεύει χρήστες Windows και προσπαθεί να αποκτήσει δεδομένα που σχετίζονται με κρυπτο πορτοφόλια. Την πληροφορία μετέδωσε το portal The Defiant.
Με άλλα λόγια: κάποιος δελεάζει τους χρήστες με ένα "δωρεάν ξεκλειδωμένο" premium εργαλείο και αντ' αυτού τους εγκαθιστά στον υπολογιστή ένα πρόγραμμα που συλλέγει ευαίσθητα δεδομένα.
Πώς λειτουργεί το malware σύμφωνα με τη SlowMist;
Σύμφωνα με την προειδοποίηση της SlowMist, όπως τη συνόψισε το The Defiant, το δείγμα για Windows έχει ένα τεχνικά ενδιαφέρον χαρακτηριστικό. Για την εναλλαγή των λεγόμενων command servers (διακομιστών ελέγχου, μέσω των οποίων ο επιτιθέμενος ελέγχει τα μολυσμένα μηχανήματα και συλλέγει από αυτά δεδομένα) εκμεταλλεύεται τις κοινές υπηρεσίες Telegram και Steam.
Γιατί το κάνουν αυτό οι επιτιθέμενοι; Όταν οι εντολές και οι διευθύνσεις των διακομιστών ελέγχου κρύβονται πίσω από νόμιμες, ευρέως χρησιμοποιούμενες πλατφόρμες, είναι πιο δύσκολο να φιλτραριστεί η κίνηση του malware ως προφανώς κακόβουλη. Η επικοινωνία αναμειγνύεται με την κανονική κίνηση που συνήθως υπάρχει έτσι κι αλλιώς στους υπολογιστές.
Πόσα είναι τα θύματα και πόσα κλάπηκαν;
Αυτό είναι το βασικό σημείο όπου χρειάζεται να είμαστε ειλικρινείς. Η προειδοποίηση της SlowMist, σύμφωνα με το The Defiant, δεν αναφέρει καμία επιβεβαιωμένη κλοπή ούτε αριθμό θυμάτων. Δεν γνωρίζουμε λοιπόν πόσοι άνθρωποι κατέβασαν το αρχείο, αν κάποιος πραγματικά έχασε κεφάλαια, ούτε πόσο μεγάλη είναι η ενδεχόμενη ζημιά.
Η προειδοποίηση είναι επομένως ένα προληπτικό σήμα για την ύπαρξη της απειλής, όχι ένας απολογισμός ήδη προκληθεισών ζημιών. Αυτή είναι μια σημαντική διάκριση: η ύπαρξη του malware τεκμηριώνεται από τον ισχυρισμό της SlowMist, ενώ η έκταση του αντικτύπου δεν τεκμηριώνεται.
Γιατί έχει σημασία και πέρα από αυτό το ένα αρχείο;
Αυτή η περίπτωση εντάσσεται σε ένα ευρύτερο μοτίβο των τελευταίων ημερών, όπου οι χρήστες κρυπτονομισμάτων αντιμετωπίζουν επανειλημμένα την έκθεση ευαίσθητων δεδομένων. Παράδειγμα είναι η ανακοινωθείσα διαρροή δεδομένων στον πάροχο κρυπτο χρεωστικών καρτών Gnosis Pay, για την οποία ενημέρωσε το Cointelegraph. Σύμφωνα με την Gnosis Pay, εκτέθηκαν στοιχεία από κάρτες, προσωπικές πληροφορίες και πληροφορίες που σχετίζονται με κρυπτο πορτοφόλια, όμως η εταιρεία ανέφερε ότι τα κεφάλαια των πελατών παρέμειναν ασφαλή.
Ο κοινός παρονομαστής δεν είναι μια συγκεκριμένη επίθεση, αλλά αυτό που διακυβεύεται: στοιχεία πρόσβασης και ταυτοποίησης που στον κόσμο των κρυπτονομισμάτων μπορούν να οδηγήσουν απευθείας σε χρήματα. Ακριβώς γι' αυτό τα εργαλεία συναλλαγών, οι κάρτες και τα πορτοφόλια αποτελούν ελκυστικό στόχο.
Σε τι πρέπει να προσέχετε με αυτόν τον τύπο απειλής;
Αυτό δεν είναι επενδυτική συμβουλή ούτε λίστα με το τι να αγοράσετε. Είναι μια περιγραφή της μηχανικής, ώστε να αναγνωρίζετε ένα παρόμοιο μοτίβο:
- Τα "cracked" ή "δωρεάν ξεκλειδωμένα" επί πληρωμή προγράμματα είναι κλασικός φορέας malware. Η υπόσχεση μιας premium λειτουργίας δωρεάν είναι το δόλωμα.
- Το malware συχνά δεν επιτίθεται θορυβωδώς. Ο στόχος είναι να συλλέγει δεδομένα αθόρυβα, όχι να εκδηλωθεί αμέσως, οπότε η απουσία ορατού προβλήματος δεν σημαίνει ότι όλα είναι καθαρά.
- Η κατάχρηση νόμιμων υπηρεσιών (εδώ Telegram και Steam) σημαίνει ότι το "φαίνεται φυσιολογικό" δεν είναι αξιόπιστο τεστ ασφαλείας.
- Την έκταση της ζημιάς τη μαθαίνουμε συνήθως αργότερα, αν ποτέ. Σε αυτήν την περίπτωση δεν υπάρχουν ακόμη δημόσια νούμερα.
Τι παραμένει προς το παρόν ανεπιβεβαίωτο
Βασικά μέρη της ιστορίας παραμένουν ανοιχτά. Δεν γνωρίζουμε τον αριθμό των θυμάτων, δεν γνωρίζουμε τον όγκο των ενδεχόμενων απωλειών και δεν έχουμε ανεξάρτητη επιβεβαίωση των τεχνικών λεπτομερειών πέρα από την ίδια την προειδοποίηση της SlowMist, όπως την παρέλαβε το The Defiant. Πώς θα εξελιχθεί η κατάσταση και αν θα εμφανιστούν συγκεκριμένα νούμερα, θα το παρακολουθούμε και ενδεχομένως θα συμπληρώσουμε.