Криптотвиттер рассказывает о новом способе украсть вашу сид-фразу. Разбираемся, в чём опасность и что делать, чтобы её избежать.

🧨 Предыстория
4 сентября из Ledger’а жертвы исчезло $25 тыс. История транзакций не показала каких-либо взаимодействий с мошенническим адресом или вредоносными смарт-контрактами — из этого можно сделать вывод, что утекла именно сид-фраза. Она хранилась в двух копиях:
1) На бумаге в запертом сейфе.
2) Фотография этой бумаги в защищенной папке на телефоне.

🕵️‍♂️ Расследование
Диагностика телефона показала, что на нём было вредоносное ПО под названием SpyAgent, спрятанное в приложении для просмотра телеканалов. SpyAgent сканировал все данные на телефоне в поисках шаблонов, напоминающих сид-фразу — поразительно, что он смог распознать фразу даже на фотографии.

Оказалось, что это ПО уже известно и определяется защитными программами. McAfee составили список из 280 поддельных приложений, запускающих SpyAgent. Однако, по их оценкам, сейчас выявлено только 10% таких приложений.

Такие приложения обычно распространяются с помощью фишинговых кампаний. Отсюда первый вывод — всегда проверяйте ссылки перед переходом и тем более скачиванием чего-либо.

Для загрузки приложения пользователю предлагается установить APK, который выглядит легитимным, но на самом деле содержит вредоносный код. Оно запрашивает доступ к конфиденциальной информации, такой как SMS, контакты и хранилища, под видом стандартных функций приложения, а после установки отправляет их на сервер. Приложение также может получать удалённые команды для манипулирования настройками, отправки SMS и подтверждения кражи данных.

При этом некоторые серверы из-за неправильной конфигурации позволяли получить доступ к файлам даже без учетных данных. Другие хакерские группы использовали эту информацию, чтобы шантажировать жертв или использовать обнаруженные сиды в своих целях. Что еще более удивительно, любой желающий мог получить доступ к странице администратора со списком всех жертв.

Основной целью злоумышленников было как раз похищение сид-фраз. Украденные данные обрабатывались с помощью Python и JavaScript, изображения преобразовывались в текст с помощью OCR, а управление данными осуществлялось через админскую панель — довольно продуманная и организованная система.

✍️ Выводы и уроки
Как бывает в 90% случаев, меры безопасности сводятся к обычным правилам цифровой гигиены. Тем не менее, будет уместно их напомнить.
❗️ Не переходите по ссылкам и не скачивайте приложения, в которых не уверены на 100%.
❗️ Не храните сид-фразу на электронных устройствах ни в каком виде. Сегодня доступные всем технологии способны распознавать шаблоны сидов даже по фотографии.

Понравился пост? Ставьте лайки, подписывайтесь на канал, заходите в чат👇

🧑‍🚀 Канал | Чат | Twitter