Kibernusikaltimų kasmet daugėja. Bendra kibernusikaltėlių padaryta žala pasiekė pusantro trilijono dolerių. Jų aukomis vis dažniau tampa ne bankai ir vyriausybės, o eiliniai žmonės.
Diamond Guard direktorius papasakojo kaip hakeriai vagia kriptovaliutą ir kaip nuo to apsisaugoti

Skylėti projektai

Ethereum — viena iš populiariausių blokčeinų platformų pasaulyje. Jos įkūrėjas Vitalikas Buterinas teigė, kad sistema tebėra patikima. „Kartais įsilaužimų pasitaiko, bet praktiškai visada jie įvyksta dėl klaidų, kurias padaro žmonės, kurdami su Ethereum savo projektus. Manau, pačios platformos saugumas — normalus“.

Bloomberg duomenimis, vienu iš dešimties atvejų Ethereum paremtos ICO¹ dalyvis taps sukčių auka: fišingo² atakų nuostoliai 2017 metais jau pasiekė 225 milijonus dolerių. Pagrindinė įsilaužimų priežastis — nepakankamai atidūs ICO organizatoriai. Taip klaida Zerocoin projekto išeities kode (nereikalingas simbolis) suteikė progą hakeriams pagrobti 370 tūkstančių zerokoinų (kiek daugiau nei 590 tūkstančių dolerių), generuojant papildomą kriptovaliutą vienos transakcijos metu, o paskui mėtant pėdas, perparduodant valiutą. Programuotojai netrukus išleido problemą pašalinusią pataisą.

Kitą kartą hakeriai įsilaužė į Ethereum klientą Parity ir pavogė 32 milijonus dolerių. Sukčiai pasinaudojo daugelio naudotojų piniginių – prie kurių prieigą turi keletas žmonių – pažeidžiamumais. Šis neapsižiūrėjimas buvo greitai atrastas ir dabar programuotojai jį šalina.

Bloomberg duomenimis, vienu iš dešimties atvejų Ethereum paremtos ICO dalyvis taps sukčių auka: fišingo atakų nuostoliai 2017 metais čia jau pasiekė 225 milijonus dolerių

Pagrindine projektų rykšte tapo fišingo atakos, nuo kurių 90% atvejų neapsaugos nei antivirusas, nei kitos apsaugos sistemos. Kibernusikaltėliams pavyko įsilaužti blokčeino startuolio CoinDash svetainę ir, pakeitus piniginės adresą, pagrobti eterių už 8 milijonus dolerių. Nieko neįtariantys naudotojai patys pervesdavo lėšas į nusikaltėlių piniginę.

Praėjus vos kelioms minutėms nuo ICO pradžios, CoinDash įspėjo apie įsilaužimą ir paprašė nurodytu adresu pinigų nesiųsti, tačiau ir tiek pakako, kad būtų padaryta rimta finansinė žala.

Lygiai taip pat hakeriai atakavo ir vieną iš stambiausių pasaulyje kriptovaliutų biržų Bithumb. Gavę prieigą prie vieno iš darbuotojų kompiuterio, hakeriai pagrobė 31,8 tūkst. biržos naudotojų lėšas (~3% visos klientų bazės). Tą pačią dieną apgavikams pavyko nulaužti Classic Ether Wallet piniginę, užvaldžius Classic Ether Wallet domeną ir iš sąskaitų pavogus 300 tūkstančių dolerių.

Nusikalstama PĮ

Dar vienas paplitęs kriptovaliutų grobimо būdas – drauge su fišingo metodais naudojama kenkėjiška programinė įranga. Pernai daug kriptovaliutos turėtojų neteko lėšų dėl CryptoChartiq svetainės. Paspaudus nuorodą, į prietaisą buvo įkeliama kenkėjiška PĮ, iš naudotojų internetinių piniginių nurašanti kriptovaliutą. Nukentėjo ir populiaraus tinklalapio Reddit naudotojai: buvo įsilaužta į vieno iš autorių paskyrą, jo vardu publikuotos kelios temos, skirtos kriptovaliutai. Paspaudus nuorodą, auka patekdavo į kenkėjišką svetainę, iš kurios būdavo įkeliama kenkėjiška PĮ.

Hakeriams pavyko į Google paieškos topą iškelti kenkėjišką svetainę apie bitkoinus, kuri nukreipdavo naudotojus į padirbtas fišingo svetaines, tuo pačiu dar ir pavogdavusi kiberlėšas

Bet viena iš gražiausių aferų derėtų pripažinti Darknetmarkets.org aikštelė autorių organizuotą kampaniją. Hakeriams pavyko į Google paieškos topą iškelti kenkėjišką svetainę apie bitkoinus, žadėjusią „išmokyti Tor naudotojus“ elgtis su kriptovaliutomis ir darknetu³. Svetainė nukreipdavo naudotojus į padirbtas fišingo svetaines, tuo pačiu dar ir pavogdavo kiberlėšas. Paaiškėjo, kad svetainė veikė nuo 2015 metų, tačiau į Google paieškų viršūnę pakilo visai neseniai.

Reikėtų nepamiršti ir legalios PĮ pažeidžiamumų, kurie ne tik suteikia nusikaltėliams prieigą prie jūsų kompiuterio, bet ir gali viską apie jus papasakoti. Nelabai seniai informacinio saugumo specialistai pranešė apie mažiausiai du pažeidžiamumus, paveikusius Chrome, Firefox, Opera priedų sistemas. Naudojantis šiais trūkumais, galima nustatyti naudotojo įdiegtus priedus, rinkti naudotojo duomenis ir sukurti unikalų naršyklės atspaudą, pagal kurį galima identifikuoti ir besislepiančius už VPN ar Tor.

Piniginė arba gyvybė

Bitkoinų ir eterių saugojimui tradiciškai naudojamos elektroninės piniginės. Bet kuri kriptovaliuta turi du raktus: viešą (jis nurodomas lėšų pervedimui ir matomas visiems) ir privatų (kurį žino tik savininkas ir jis reikalingas transakcijos patvirtinimui). Kriptovaliutos saugojimui naudojamos „karštos“ piniginės (kai abu raktus internete saugo jūsų tiekėjas) ir „šaltos“ piniginės (privatus raktas saugomas išoriniame įrenginyje ir niekam, išskyrus naudotoją, neprieinamas). Galima pamanyti, kad „šaltos“ piniginės apsaugotos geriau. Tačiau ir čia gali būti pažeidžiamumų: pavyzdžiui, galite apsikrėsti Trojos arkliu⁴ iš jau minėtos kenksmingos PĮ.

„Karštas“ pinigines vertėtų apsaugoti dviguba identifikacija. Tačiau ir taip negarantuojamas visiškas saugumas. Neseniai JAV Federalinė prekybos komisija pranešė apie smarkiai padažnėjusias naudotojų telefonų numerių vagystes, taip siekiant užgrobti įrašų socialiniuose tinkluose ir kriptovaliutos piniginių kontrolę. Hakeriai, pasinaudodami viešai prieinama naudotojo informacija, skambina ryšio operatoriams ir įtikina juos peradresuoti skambučius ir pranešimus į naujus įrenginius, tad ir dviguba identifikacija nepadeda.

Nemokama darbo jėga

Beje, tai dar ne visos jūsų tykančios grėsmės. Daug sistemų tapo kompiuterio skaičiavimo pajėgumus – procesorius ir vaizdo plokštes – išnaudojančių mainerių⁵ aukomis. Panašiai veikė DevilRobber ir CoinMiner botnetai⁶. Dar 2015 metais vieno Italijos banko serverius hakeriai panaudojo kriptovaliutos gavybai. Tiesa, įsibrovimas per valandą buvo pastebėtas ir banko serveris buvo atjungtas. Tačiau tokios schemos pamažu traukiasi užmarštin: Darktrace kompanijos direktorius Dave'as Palmeris Londone vykusioje konferencijoje Research and Applied AI Summit pažymėjo, kad mainingo, panaudojant užkrėstus įrenginius, bumas buvo 2014 metais. Dabar tai jau darosi nerentabilu: kriptovaliutos generavimui reikia milžiniškų skaičiavimo pajėgumų, ir įprasti naudotojų kompiuteriai nebeefektyvūs, mano ekspertas. Tačiau pasak prezidento patarėjo interneto klausimais Germano Klimenko, nuo 20 iki 30% iš 20 milijonų kompiuterių Rusijoje užkrėsti kriptovaliutos išgavimo virusu.

Tačiau nuo įsilaužimų neapsaugoti ir patys maineriai. Nyderlandų saugumo tyrėjas Victoras Geversas aptiko 2893 jokiais slaptažodžiais neapsaugotus bitkoinų išgavimo įrenginius, pasiekimus per Telnet. Analitikas spėjo, kad įrenginio savininkas yra KLR vyriausybės finansuojama arba kontroliuojama organizacija. Po publikacijos apie pažeidžiamumą, visi įrenginiai kaip mat buvo apsaugoti slaptažodžiais. Tokia „kasykla“ per dieną gali duoti iki 1 milijono dolerių pajamas Litec kriptovaliuta. Jei Geverso motyvai būtų buvę kiti, jis būtų galėjęs mainerių lėšas pasisavinti.

Skęstančiųjų gelbėjimas — pačių skęstančiųjų reikalas

Kaip rodo analizė, pagrindinė atakų kryptis — žmonės, kriptovaliutos savininkai. Kibernusikaltėliams gerokai paprasčiau organizuoti didelio skaičiaus aukų puolimą, mat dalies naudotojų apsaugos lygis gali pasirodyti esantis minimalus.

Tačiau paprastų esminių asmeninio saugumo taisyklių laikymasis padės minimizuoti riziką tapti hakerių auka.

1. Neskubėkite! Visada rinkitės atidžiai, – ar tai būtų ICO projektas, birža ar valiutos keitimo punktas, naujienų puslapis ir t.t. Taip išvengsite trivialių fišingo svetainių schemų.

2. Naudokite patikrintas saugumo sistemas: antivirusus, ugniasienes, kokybišką VPN. Nepamirškite, kad po nemokamo antiviruso apvalkalu gali slėptis kenksminga PĮ. Patikrinkite jos tiekėją – atsarga gėdos nedaro.

3. Saugokite pinigus kriptopiniginėse! Jei turite didelę sumą, nelaikykite jos visos vienoje vietoje. Naudokite „šaltas“, aparatines pinigines. Nesijunkite ir nedirbkite nežinomais kompiuteriais, kur gali būti įdiegta kenksminga PĮ.

4. Sekite įvykius. Naudodami bet kokią PĮ, kuri turi prieigą prie jūsų kriptoaktyvų, nepamirškite jos atnaujinti ir vadovautis gamintojų rekomendacijomis.

5. Rūpinantis korporaciniu saugumu, svarbu užtikrinti apsaugą nuo tikslinių atakų, o tai jau informacinio saugumo tarnybos klausimas.

A. Mamaev

snob.ru

Komentarai (3)