Перейти к содержанию

Уязвимость криптокошельков, созданных онлайн в начале 2010-х | Блог Касперского


Рекомендуемые сообщения

Исследователи обнаружили несколько уязвимостей в библиотеке BitcoinJS, из-за которых Bitcoin-кошельки, созданные с помощью онлайн-сервисов десятилетие назад, могут оказаться уязвимы к взлому. Суть найденных багов в том, что секретные ключи от этих криптокошельков генерировались с гораздо большей предсказуемостью, чем того ожидали разработчики библиотеки.

Уязвимости Randstorm и их последствия

Теперь обо всем по порядку. Исследователи из компании Unciphered, занимающейся восстановлением доступа к криптокошелькам, обнаружили и описали ряд уязвимостей в JavaScript-библиотеке BitcoinJS, которую использовали многие криптовалютные онлайн-сервисы. Среди этих сервисов есть и весьма популярные — в частности, Blockchain.info, ныне известный как Blockchain.com. Обнаруженный набор уязвимостей исследователи назвали Randstorm.

Несмотря на то что уязвимости в самой библиотеке BitcoinJS были устранены еще в 2014 году, проблема распространяется на результаты работы этой библиотеки: созданные с ее помощью в начале 2010-х годов криптокошельки могут быть небезопасны — в том смысле, что подобрать секретные ключи к ним куда проще, чем предполагает лежащая в основе Bitcoin криптография.

По оценкам исследователей, из-за Randstorm потенциально уязвимы несколько миллионов кошельков, в которых суммарно хранится около 1,4 миллиона биткойнов. Среди потенциально уязвимых, по оценке исследователей, действительно уязвимы для реальных атак 3–5% кошельков. Исходя из примерного курса биткойна в районе $36 500 на момент публикации поста, можно предположить суммарную добычу 1,5–2,5 миллиарда долларов для тех взломщиков, которые смогут разработать методику успешной эксплуатации Randstorm.

Исследователи утверждают, что уязвимости Randstorm на деле можно использовать для практической атаки на криптокошельки. Более того, они успешно воспользовались этими уязвимостями для восстановления доступа к нескольким криптокошелькам, созданным на сервисе Blockchain.info до марта 2012 года. Из этических соображений они не стали публиковать доказательство осуществимости атаки (proof-of-concept), поскольку это подвергло бы собственность десятков тысяч владельцев криптокошельков прямой угрозе кражи.

Исследователи уже связались с теми криптовалютными онлайн-сервисами, о которых известно, что они использовали уязвимые версии библиотеки BitcoinJS. В свою очередь, эти сервисы направили предупреждения тем своим клиентам, которые потенциально могут пострадать от Randstorm.

 

Посмотреть статью полностью

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • KL FC Bot
      Автор KL FC Bot
      В мартовском вторничном патче компания Microsoft закрыла целых шесть уязвимостей, которые активно эксплуатируются злоумышленниками. Четыре из этих уязвимостей связаны с файловыми системами, причем три из них имеют одинаковый триггер, что может указывать на их использование в одной атаке. Детали их эксплуатации пока (к счастью) неизвестны, однако свежее обновление крайне рекомендуется к немедленной установке.
      Уязвимости в файловых системах
      Две из уязвимостей в системе NTFS позволяют злоумышленникам получить доступ к частям кучи (heap), то есть к динамически распределяемой памяти приложений. Что интересно, первая из них, CVE-2025-24984 (4,6 по шкале CVSS) подразумевает физический доступ злоумышленника к атакуемому компьютеру (он должен вставить в USB-порт подготовленный вредоносный накопитель). Для эксплуатации второй уязвимости типа Information Disclosure Vulnerability, CVE-2025-24991 (CVSS 5,5), злоумышленникам необходимо каким-то образом заставить локального пользователя подключить вредоносный виртуальный жесткий диск (VHD).
      Точно также активизируются и две другие уязвимости, связанные с файловыми системами CVE-2025-24985, в драйвере файловой системы Fast FAT и CVE-2025-24993 в NTFS. Вот только их эксплуатация приводит к удаленному запуску произвольного кода на атакуемой машине (RCE). У обеих уязвимостей CVSS рейтинг составляет 7,8.
       
      View the full article
    • KL FC Bot
      Автор KL FC Bot
      Интересную атаку, точнее, сразу две атаки с использованием двух разных уязвимостей в процессорах Apple, недавно продемонстрировали исследователи из университетов Германии и США. Представьте себе, что кто-то присылает вам ссылку в чате. Вы открываете ее, и там на первый взгляд нет ничего подозрительного. Никто не просит ввести ваш пароль от рабочей почты, не предлагает скачать сомнительный файл. Возможно, на странице даже есть что-то полезное или интересное. Но пока вы это полезное просматриваете, скрытый код читает информацию из соседней вкладки браузера и таким образом узнает, где вы находитесь в данный момент, что вы в последний раз покупали в популярном интернет-магазине, или, например, похищает текст электронного письма.
      Описание атаки выглядит достаточно просто, но на самом деле речь идет о сложнейшей атаке, эксплуатирующей особенности так называемого спекулятивного выполнения инструкций процессором.
      Подождите, но мы это уже где-то слышали!
      Действительно, по своему принципу новые атаки напоминают различные варианты атак типа Spectre, эксплуатирующих другие, хотя отчасти похожие уязвимости в процессорах Intel и AMD. Мы писали об этих атаках раньше: в 2022 году, через 4 года после обнаружения самой первой уязвимости Spectre, мы пришли к выводу, что реального, простого и действенного метода эксплуатации этих уязвимостей нет. Использовать свежеобнаруженные проблемы в чипах Apple также непросто, но есть важное отличие: исследователи в новой работе сразу предлагают достаточно реалистичные варианты атак и доказывают их возможность. Чтобы разобраться, насколько опасны данные уязвимости, давайте коротко, и не вдаваясь в дебри сложного научного исследования, повторим основные принципы всех подобных атак.
       
      View the full article
    • KL FC Bot
      Автор KL FC Bot
      Поучительный инцидент с атакой ransomware-группировки Akira наверняка на несколько лет станет любимым примером ИБ-специалистов. Злоумышленники зашифровали компьютеры организации, воспользовавшись ее видеокамерой. Хотя звучит это очень странно, в развитии событий есть логика, которую легко применить к другой организации и другим устройствам в ее инфраструктуре.
      Анатомия атаки
      Злоумышленники проникли в сеть, проэксплуатировав уязвимость в публично доступном приложении и получив возможность выполнять команды на зараженном хосте. Они воспользовались этим, чтобы запустить популярное приложение дистанционного доступа AnyDesk, а затем инициировали с этого компьютера RDP-сессию для доступа к файл-серверу организации. На сервере они попытались запустить свой шифровальщик, но EDR-система, установленная в компании, опознала вредоносное ПО и поместила его в карантин. Увы, это не остановило атакующих.
      Не имея возможности запустить свой шифровальщик на серверах и обычных компьютерах, которые находятся под защитой EDR, атакующие запустили сканирование внутренней сети и обнаружили в ней сетевую видеокамеру. В отчете команды по расследованию инцидента это устройство постоянно называют веб-камерой (webcam), но мы все же полагаем, что речь не о камере ноутбука или смартфона, а о независимом сетевом устройстве, применяемом для видеонаблюдения.
      Камера стала прекрасной мишенью для атакующих по нескольким причинам:
      устройство давно не обновлялось, его прошивка содержала уязвимости, позволяющие дистанционно скомпрометировать камеру и получить на ней права на запуск оболочки (remote shell); камера работает под управлением облегченной сборки Linux, на которой можно запускать обычные исполнимые файлы этой ОС, например Linux-шифровальщик, имеющийся в арсенале Akira; это специализированное устройство не имело (и, скорее всего, не могло иметь) ни агента EDR, ни других защитных средств, которые могли бы определить вредоносную активность. Злоумышленники смогли установить свое вредоносное ПО на эту камеру и зашифровать серверы организации прямо с нее.
       
      View the full article
    • KL FC Bot
      Автор KL FC Bot
      В популярном архиваторе 7-Zip была обнаружена уязвимость CVE-2025-0411, позволяющая злоумышленникам обходить защитный механизм Mark-of-the-Web. CVE-2025-0411 имеет рейтинг 7.0 по шкале CVSS. Уязвимость была оперативно исправлена, однако, поскольку в программе отсутствует механизм автоматического обновления, у некоторых пользователей могла остаться уязвимая версия. В связи с чем мы рекомендуем незамедлительно обновить архиватор.
      Что такое Mark-of-the-Web?
      Механизм Mark-of-the-Web (MOTW) заключается в проставлении специальной отметки в метаданных файлов, полученных из Интернета. При наличии такой отметки операционная система Windows считает такой файл потенциально опасным. Соответственно, если файл исполняемый, то при попытке его запуска пользователь увидит предупреждение о том, что он может причинить вред. Кроме того, ряд программ ограничивают функциональность файла (например, офисные приложения блокируют выполнение макросов). Подразумевается, что если из Интернета скачан архив, то при его распаковке все находившиеся внутри файлы также унаследуют отметку MOTW.
      Злоумышленники неоднократно были замечены за попытками избавиться от отметки MOTW для того, чтобы ввести пользователя в заблуждение. В частности, несколько лет назад мы писали о том, как это делает группировка BlueNoroff. По классификации матрицы MITRE ATT&CK обход механизма MOTW относится к подтехнике T1553.005: Subvert Trust Controls: Mark-of-the-Web Bypass.
       
      View the full article
    • KL FC Bot
      Автор KL FC Bot
      Представьте: встаете вы ночью попить водички, идете по неосвещенному коридору, и тут из темноты на вас кто-то начинает громко орать. Ситуация, согласитесь, крайне неприятная. И в нее вполне можно попасть по вине уязвимого робота-пылесоса — взломщики могут заставить самобеглую железку по их команде накричать на хозяина. Но это еще не все: хакеры могут управлять роботом удаленно и включать с него живые трансляции.
      И это совсем не теоретическая опасность: не так давно случаи, когда сетевые хулиганы использовали уязвимые роботы-пылесосы для того, чтобы портить жизнь людям, были зафиксированы, что называется, в дикой природе. Рассказываем обо всем по порядку.
      Как устроен робот-пылесос
      Начнем с того, что современный робот-пылесос — это полноценный компьютер на колесиках, работающий под управлением Linux. У него есть мощный многоядерный процессор ARM, солидный объем оперативной памяти, вместительный флеш-накопитель, Wi-Fi и Bluetooth.
      Любой современный робот-пылесос — это полноценный компьютер на колесиках. Источник
       
      View the full article
×
×
  • Создать...