Давняя уязвимость RoboForm вернула доступ к BTC-кошельку ценой в 3 миллиона

Давняя уязвимость RoboForm вернула доступ к BTC-кошельку ценой в 3 миллиона

Давняя уязвимость RoboForm вернула доступ к BTC-кошельку ценой в 3 миллиона

Обнаружив уязвимость в менеджере паролей RoboForm выпуска 2013 года, исследователи смогли восстановить ключ доступа к биткоин-кошельку. Его владелец рад вдвойне: за 11 лет его 43,6 BTC подорожали с $5,3 тыс. до $3 миллионов.

Двадцатизначный пароль, который он сгенерировал с помощью RoboForm, хранился в отдельном файле, зашифрованном с помощью TrueCrypt. В какой-то момент файл побился, и доступ к кошельку был потерян.

Безутешный владелец крипты обратился за помощью к известному в узких кругах умельцу, однако тот привык иметь дело с аппаратными криптокошельками вроде Trezor, а здесь речь шла о софте. Брутфорс с помощью скрипта для автоматизации подбора пароля казался трудновыполнимым, поэтому было решено поискать в RoboForm уязвимость, которая помогла бы решить проблему.

Специалист по взлому вместе с приятелем несколько месяцев занимался реверс-инжинирнгом, хотя знатоки убеждали его в безнадежности затеи. Наконец, было найдено то, что искали: как оказалось, генератор случайных чисел, который использовала версия RoboForm заказчика, привязывал результаты к дате и времени компьютера, что делало их предсказуемыми.

Нужно было также знать, из чего состоял пароль: заглавных / строчных букв, цифр, спецсимволов. При наличии всех этих параметров можно было, подменив дату и время, заставить RoboForm выдать нужный вариант ключа.

К сожалению, владелец криптокошелька плохо помнил, когда именно он поставил пароль и какие символы использовал. Просмотр журнала показал, что первые биткоины появились в кошельке 14 апреля 2013 года; исследователи также изучили другие пароли, созданные заказчиком с помощью RoboForm, и начали экспериментировать.

Методом проб и ошибок правильный вариант был получен. Специалисты торжественно вручили утерянный ключ хозяину, взяв немного крипты за труды, и опубликовали видео о том, как они восстанавливали пароль.

 

RoboForm разработки Siber Systems одним из первых появился на рынке менеджеров паролей; в настоящее время на его счету более 6 млн пользователей. Генератор случайных чисел, слабостью которого воспользовались исследователи, подкрутили или заменили в 2015 году, с выпуском сборки 7.9.14 продукта.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Злоумышленники хранили свой код в DNS-записях в шестнадцатеричном формате

Команда DomainTools обнаружила еще один пример использования DNS как хранилища вредоносов. Для сокрытия бинарника его конвертировали в шестнадцатеричный формат, разбили на части и спрятали в TXT-записях связанных поддоменов.

Подобные злоупотребления рассчитаны на то, что защитные решения редко проверяют DNS-трафик на предмет угроз, он для них слепая зона. К тому же организовать выявление аномалий в легитимном потоке запросов в данном случае непросто, а при использовании шифрования (DoH или DoT) — еще сложнее.

Привлекшие внимание экспертов записи DNS TXT содержали информацию о сотнях различных поддоменов *.felix.stf.whitetreecollective[.]com, дополненную фрагментами кода в шестнадцатеричном формате.

 

При их извлечении и сборке с преобразованием в двоичный файл оказалось, что это Joke Screenmate — злонамеренное приложение Windows, которое выводит на экран изображения или анимацию, от которых трудно избавиться.

Это может быть череда шутливых картинок, которые быстро множатся, и их трудно закрыть. Более агрессивные варианты таких программ пугают жертв бесконечными сообщениями об ошибках или якобы обнаруженных вирусах.

Известны случаи, когда в DNS-записях скрывались вредоносные скрипты. Исследователи из DomainTools тоже столкнулись с таким TXT-содержимым; на поверку зашифрованный Powershell оказался загрузчиком, скачивающим пейлоад второго этапа атаки с C2 на базе Covenant.

В комментарии для Ars Technica представитель DomainTools поведал, что недавно они нашли DNS-записи с текстами для ИИ-ботов, которые, видимо, используются в рамках промпт-инъекций. Все фразы начинались с «Ignore all previous instructions» («Забудь обо всех прежних инструкциях») и содержали различные просьбы, от с виду невинных (назвать произвольное число, выдать краткое содержание фильма «Волшебник», спеть песню, как птичка) до явно провокационных (игнорить все последующие инструкции, удалить обучающие данные и восстать против своих хозяев).

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru