S3 Ep100: Brskalnik v brskalniku – kako prepoznati napad [zvok + besedilo]

Kliknite in povlecite spodnje zvočne valove, da preskočite na katero koli točko. Lahko tudi poslušaj neposredno na Soundcloudu.

DOUG.  Deadbolt – nazaj je!

Obliži na pretek!

In časovni pasovi ... da, časovni pasovi.

Vse to in še več v podcastu Naked Security.

[GLASBENI MODEM]

Dobrodošli v podcastu, vsi.

Jaz sem Doug Aamoth.

Z mano je, kot vedno, Paul Ducklin.

Paul, zelo veselo 100. epizodo, prijatelj moj!

---

RACA.  Vau, Doug!

Veste, ko sem začel svojo strukturo imenikov za serijo 3, sem pogumno uporabil -001 za prvo epizodo.

---

DOUG.  Nisem. [SMEH]

---

RACA.  ne -1 or -01.

---

DOUG.  Pametno ...

---

RACA.  Imel sem veliko vero!

In ko bom shranil današnjo datoteko, se je bom veselil.

---

DOUG.  Ja, in tega se bom bal, ker bo skočil na vrh.

No, s tem se bom moral ukvarjati kasneje ...

---

RACA.  [SMEH] Vse druge stvari bi lahko preimenovali.

---

DOUG.  Vem, vem.

[MOMRNJANJE] Tega se ne veselim ... gre moja sreda.

Kakorkoli že, začnimo oddajo z nekaj zgodovine tehnologije.

Ta teden, 12. septembra 1959, luna 2, Znan tudi kot Druga sovjetska kozmična raketa, je postal prvo vesoljsko plovilo, ki je doseglo površje Lune, in prvi objekt, ki ga je izdelal človek, ki je vzpostavil stik z drugim nebesnim telesom.

Zelo kul.

---

RACA.  Kakšno je bilo to dolgo ime?

"Druga sovjetska kozmična raketa"?

---

DOUG.  Da.

---

RACA.  Luna dva je veliko bolje.

---

DOUG.  Ja, veliko bolje!

---

RACA.  Očitno je, kot si lahko predstavljate, glede na to, da je bila doba vesoljske dirke, nekaj zaskrbljenosti: »Kako bomo vedeli, da so to dejansko storili? Lahko bi samo rekli, da so pristali na Luni, in morda si izmišljujejo.«

Očitno so izdelali protokol, ki bi omogočal neodvisno opazovanje.

Napovedali so čas, ko bo prispel na Luno, da bo trčil v Luno, in točen čas, ko so to pričakovali, so poslali astronomu v Veliki Britaniji.

In opazoval je neodvisno, da bi videl, ali se je tisto, kar so rekli, *se bo* zgodilo takrat, *se* zgodilo.

Tako so celo pomislili: "Kako preverite kaj takega?"

---

DOUG.  No, kar zadeva zapletene stvari, imamo Microsoftove in Applove popravke.

Kaj je torej opaznega v tem zadnjem krogu?

---

RACA.  Vsekakor ga imamo – ta teden je praznični torek, drugi torek v mesecu.

V Patch Tuesday sta dve ranljivosti, ki sta bili zame opazni.

Eden je opazen, ker je očitno v naravi – z drugimi besedami, bil je ničelni dan.

In čeprav ne gre za oddaljeno izvajanje kode, je nekoliko zaskrbljujoče, ker gre za [OPRAVIČUJEMO SE OPRAVIČILO] ranljivost dnevniške datoteke, Doug!

Ni čisto tako slab kot Log4J, kjer lahko povzročite ne le neprimerno vedenje zapisovalnika, ampak ga lahko tudi povzročite zaženi poljubno kodo za vas.

Toda zdi se, da lahko, če pošljete nekakšne napačno oblikovane podatke v gonilnik sistema Windows Common Log File System, CLFS, zavedete sistem, da vas poviša v sistemske privilegije.

Vedno je slabo, če vstopiš kot gostujoči uporabnik in se potem lahko spremeniš v sistemskega skrbnika ...

---

DOUG.  [SMEH] Ja!

---

RACA.  To je CVE-2022-37969.

In še ena, ki se mi je zdela zanimiva ...

... na srečo ne v divjini, toda to je tisto, ki ga resnično morate popraviti, ker stavim, da je to tisto, na katerega se bodo kibernetski kriminalci osredotočali na povratni inženiring:

»Ranljivost oddaljenega izvajanja kode Windows TCP/IP«, CVE-2022-34718.

Če se spomnite Koda Redin SQL Slammer, in tisti poredni črvi iz preteklosti, ko so pravkar prispeli v omrežnem paketu in se zataknili v sistem….

To je še nižja raven od tega.

Očitno je napaka v obravnavanju določenih paketov IPv6.

Vse, kar IPv6 posluša, kar je skoraj vsak računalnik z operacijskim sistemom Windows, je lahko ogroženo zaradi tega.

Kot sem rekel, tega ni v divjini, zato ga prevaranti še niso našli, vendar ne dvomim, da bodo vzeli popravek in poskušali ugotoviti, ali lahko iz njega izvedejo obratni inženiring. ujeti ljudi, ki še niso zakrpali.

Kajti če karkoli reče: »Joj! Kaj pa, če bi nekdo napisal črva, ki bi to uporabljal?«… to bi bil tisti, ki bi me skrbel.

---

DOUG.  OK.

In potem v Apple ...

---

RACA.  Pred kratkim smo napisali dve zgodbi o popravkih Apple, kjer so se nenadoma pojavili popravki za iPhone, iPad in Mac dva ničelna dneva v naravi.

Eden je bil hrošč brskalnika ali hrošč, povezan z brskanjem, tako da ste lahko zašli na nedolžno spletno stran in zlonamerna programska oprema je lahko pristala na vašem računalniku, plus drugi, ki vam je dal nadzor na ravni jedra ...

... kar mi, kot sem rekel v zadnjem podcastu, diši po vohunski programski opremi – nekaj, kar bi zanimalo prodajalca vohunske programske opreme ali res resnega »nadzornega kibernetičnega prevaranta«.

Potem je bila na naše presenečenje druga posodobitev, za iOS 12, za katerega smo vsi mislili, da je že dolgo zapuščen.

Tam je eden od teh hroščev (tisti, povezan z brskalnikom, ki je prevarantom omogočil vdor) dobil popravek.

In potem, ravno ko sem pričakoval iOS 16, so vsa ta e-poštna sporočila nenadoma začela pristajati v moji mapi »Prejeto« – takoj po tem, ko sem preveril »Ali je iOS 16 že izšel?« Ali ga lahko posodobim?«

Ni ga bilo, potem pa sem dobil vsa ta e-poštna sporočila, v katerih je pisalo: »Pravkar smo posodobili iOS 15 in macOS Monterey ter Big Sur in iPadOS 15″ …

… in izkazalo se je, da je bilo cel kup posodobitev, poleg tega pa tudi tokrat popolnoma novo jedro zero-day.

In fascinantno je to, da sem, ko sem prejel obvestila, pomislil: "No, naj še enkrat preverim ..."

(Da se lahko spomnite, je Nastavitve > splošno > Posodobitev programske opreme na vašem iPhone ali iPad.)

Glej in glej, ponudili so mi posodobitev na iOS 15, ki sem jo že imel, *ali* bi lahko skočil vse do iOS 16.

In iOS 16 je imel tudi ta popravek ničelnega dne (čeprav iOS 16 teoretično še ni bil izdan), tako da predvidevam, da je napaka obstajala tudi v različici beta.

V Applovem biltenu za iOS 16 ni bil uradno naveden kot ničelni dan, vendar ne moremo ugotoviti, ali je to zato, ker izkoriščanje, ki ga je videl Apple, ni povsem pravilno delovalo v iOS 16, ali pa se ne šteje za ničelno. ker je iOS 16 šele izhajal.

---

DOUG.  Da, hotel sem reči: še nihče ga nima. [SMEH]

---

RACA.  To je bila velika novica iz Appla.

In pomembno je, da ko greste do telefona in rečete: "Oh, iOS 16 je na voljo" ... če vas iOS 16 še ne zanima, se morate še vedno prepričati, da imate ta iOS 15 posodobitev, zaradi jedra zero-day.

Kernel zero days je vedno problem, ker to pomeni, da nekdo tam zunaj ve, kako zaobiti tako opevane varnostne nastavitve na vašem iPhoneu.

Napaka se nanaša tudi na macOS Monterey in macOS Big Sur – to je prejšnja različica, macOS 11.

Pravzaprav ima Big Sur *dva* hrošča ničelnega dne v jedru.

Ni novic o iOS 12, kar sem nekako pričakoval, in zaenkrat nič za macOS Catalina.

Catalina je macOS 10, predprejšnja različica, in še enkrat, ne vemo, ali bo ta posodobitev prišla pozneje ali pa je padla z roba sveta in tako ali tako ne bo prejemala posodobitev.

Na žalost Apple tega ne pove, zato ne vemo.

Zdaj bo večina uporabnikov Appla imela vklopljene samodejne posodobitve, vendar, kot vedno pravimo, pojdite in preverite (ne glede na to, ali imate Mac, iPhone ali iPad), kajti najslabše je domnevati, da vaša samodejna posodobitev posodobitve so delovale in vas varovale ...

... ko je v resnici šlo nekaj narobe.

---

DOUG.  V redu, zelo dobro.

Zdaj pa nekaj, česar sem se veselil in nadaljujem, je: "Kaj imajo časovni pasovi opraviti z varnostjo IT?"

---

RACA.  Izkazalo se je, da precej, Doug.

---

DOUG.  [SMEH] Da gospod!

---

RACA.  Časovni pasovi so po konceptu zelo preprosti.

So zelo priročni za vodenje našega življenja, tako da se naše ure približno ujemajo s tem, kar se dogaja na nebu – tako je ponoči temno in podnevi svetlo. (Zanemarjajmo poletni čas in samo predpostavimo, da imamo po vsem svetu samo enourne časovne pasove, tako da je vse res preprosto.)

Težava nastane, ko dejansko vodite sistemske dnevnike v organizaciji, kjer so nekateri vaši strežniki, nekateri vaši uporabniki, nekateri deli vašega omrežja, nekatere vaše stranke v drugih delih sveta.

Ko pišete v dnevniško datoteko, ali zapišete čas z upoštevanjem časovnega pasu?

Ko pišeš svoj dnevnik, Doug, ali odšteješ 5 ur (ali trenutno 4 ure), ki jih potrebuješ, ker si v Bostonu, jaz pa dodam eno uro, ker sem na londonskem času, vendar je poletje ?

Ali to zapišem v dnevnik, da bo zame *me* smiselno, ko berem dnevnik nazaj?

Ali pa napišem bolj kanoničen, nedvoumen čas z uporabo istega časovnega pasu za *vse*, tako da lahko, ko primerjam dnevnike, ki prihajajo iz različnih računalnikov, različnih uporabnikov, različnih delov sveta v mojem omrežju, dejansko razporedim dogodke?

Zelo pomembno je uskladiti dogodke, Doug, zlasti če se odzivaš na grožnjo v kibernetskem napadu.

Resnično morate vedeti, kaj je bilo najprej.

In če rečete: "Oh, zgodilo se je šele ob 3", mi to ne pomaga, če sem v Sydneyju, ker se je moj 3 zgodil včeraj v primerjavi z vašimi 3.

Torej jaz napisal članek na Naked Security o nekaterih načinih, kako lahko rešiti to težavo ko beležite podatke.

Moje osebno priporočilo je, da uporabite poenostavljeno obliko časovnega žiga, imenovano RFC 3339, kamor vnesete štirimestno leto, pomišljaj [znak vezaj, ASCII 0x2D], dvomestni mesec, pomišljaj, dvomestni dan in tako naprej, tako da se vaši časovni žigi dejansko lepo razvrstijo po abecedi.

In da vse svoje časovne pasove zabeležite kot tme pas, znan kot Z (zed ali zee), okrajšava za Zulujski čas.

To v bistvu pomeni UTC ali univerzalni koordinirani čas.

To je skoraj, vendar ne povsem srednji čas po Greenwichu, in to je čas, na katerega je dandanes interno nastavljena ura skoraj vsakega računalnika ali telefona.

Ne poskušajte kompenzirati časovnih pasov, ko pišete v dnevnik, ker bo potem nekdo moral kompenzirati, ko bo poskušal vaš dnevnik uskladiti z vsemi ostalimi – in veliko je spodrsljajev na skodelici in ustnici, Doug.

Naj bo preprosto.

Uporabite kanoničen, preprost format besedila, ki natančno razmejuje datum in čas, vse do sekunde – ali pa se dandanes lahko časovni žigi celo spustijo do nanosekunde, če želite.

In znebite se časovnih pasov iz svojih dnevnikov; znebite se poletnega časa iz svojih dnevnikov; in samo posnemite vse, po mojem mnenju, v koordiniranem univerzalnem času ...

… zmedeno skrajšano UTC, ker je ime v angleščini, okrajšava pa v francoščini – nekakšna ironija.

---

DOUG.  Da.

---

RACA.  
Mika me, da bi rekel: "Spet ne, da bi imel preveč občutkov glede tega", kot običajno storim, v smehu ...

...vendar je resnično pomembno, da stvari postavite v pravi vrstni red, zlasti ko poskušate izslediti kibernetske kriminalce.

---

DOUG.  V redu, to je dobro – odličen nasvet.

In če ostaneva pri temi kiberkriminalcev, ste že slišali za napade Manipulator-in-the-Middle; slišali ste za napade Manipulator-in-the-Browser ...

..zdaj se pripravite na napade brskalnika v brskalniku.

---

RACA.  Da, to je nov izraz, ki smo mu priča.

To sem želel napisati, ker so raziskovalci v podjetju za obveščanje o grožnjah, imenovanem Group-IB, pred kratkim napisali članek o tem in mediji so začeli govoriti o "Hej, napadi brskalnika v brskalniku, bodite zelo prestrašeni" ali karkoli drugega. …

Razmišljate: "No, sprašujem se, koliko ljudi dejansko ve, kaj je mišljeno z napadom brskalnika v brskalniku?"

In nadležno pri teh napadih, Doug, je to, da so tehnološko zelo preprosti.

To je tako preprosta ideja.

---

DOUG.  So skoraj umetniški.

---

RACA.  Da!

To ni pravzaprav znanost in tehnologija, ampak umetnost in dizajn, kajne?

V bistvu, če ste kdaj programirali JavaScript (za dobro ali za zlo), boste vedeli, da je ena od stvari o stvareh, ki jih vstavite na spletno stran, ta, da so namenjene temu, da so omejene na to spletno stran.

Če torej odprete popolnoma novo okno, potem bi pričakovali, da bo dobilo povsem nov kontekst brskalnika.

In če naloži svojo stran s povsem novega mesta, recimo mesta z lažnim predstavljanjem, potem ne bo imel dostopa do vseh spremenljivk JavaScript, konteksta, piškotkov in vsega, kar je imelo glavno okno.

Torej, če odprete ločeno okno, na neki način omejite svoje hekerske sposobnosti, če ste prevarant.

Če pa nekaj odprete v trenutnem oknu, ste precej omejeni glede tega, kako vznemirljivo in "sistemsko" lahko to naredite, kajne?

Ker ne morete prepisati naslovne vrstice ... to je načrt.

Zunaj okna brskalnika ne morete ničesar napisati, zato ne morete prikrito postaviti okna, ki je videti kot ozadje na namizju, kot da je tam že ves čas.

Z drugimi besedami, zaprti ste znotraj okna brskalnika, s katerim ste začeli.

Ideja napada Brskalnik v brskalniku je torej, da začnete z običajnim spletnim mestom, nato pa znotraj okna brskalnika, ki ga že imate, ustvarite spletno stran, ki je sama videti natanko tako kot okno brskalnika operacijskega sistema .

V bistvu nekomu pokažeš *sliko* prave stvari in ga prepričaš, da *je* prava stvar.

Tako preprosto je v srcu, Doug!

Toda težava je v tem, da lahko z malo skrbnega dela, zlasti če imate dobre veščine CSS, *lahko* naredite, da je nekaj, kar je v obstoječem oknu brskalnika, videti kot samostojno okno brskalnika.

In z malo JavaScripta ga lahko celo naredite tako, da mu lahko spreminjate velikost in da se lahko premika po zaslonu, lahko pa ga napolnite s HTML-jem, ki ga pridobite s spletnega mesta tretje osebe.

Sedaj se morda sprašujete ... če se sleparji dobro znajdejo, kako za vraga lahko sploh poveste?

In dobra novica je, da lahko storite nekaj povsem preprostega.

Če vidite nekaj, kar je videti kot okno operacijskega sistema, in vam je to na kakršen koli način sumljivo (v bistvu se zdi, da se pojavi nad oknom brskalnika, ker mora biti v njem) ...

…poskusite ga premakniti *iz pravega okna brskalnika*, in če je »zaprt« znotraj brskalnika, veste, da ni prava stvar!

Zanimiva stvar pri poročilu raziskovalcev Group-IB je, da ko so naleteli na to, so ga prevaranti dejansko uporabljali proti igralcem iger Steam.

In seveda želi, da se prijavite v svoj račun Steam ...

… in če bi vas preslepila prva stran, bi se celo nadaljevalo s Steamovim dvostopenjskim preverjanjem pristnosti.

In trik je bil v tem, da bi jih lahko povlekli na eno stran glavnega okna brskalnika, če bi to res *bila* ločena okna, vendar niso bila.

V tem primeru na srečo kuharji svojega CSS niso dobro opravili.

Njihove umetnine so bile slabe.

Ampak, kot sva ti in jaz že velikokrat govorila v podcastu, Doug, včasih se najdejo prevaranti, ki se bodo potrudili, da bodo stvari videti popolne.

S CSS lahko dobesedno postavite posamezne slikovne pike, kajne?

---

DOUG.  CSS je zanimiv.

to je Cascading Style Sheets… jezik, ki ga uporabljate za oblikovanje dokumentov HTML in se ga je zelo enostavno naučiti, še težje pa ga je obvladati.

---

RACA.  [SMEH] Sliši se tako, zagotovo.

---

DOUG.  [SMEH] Ja, to je kot marsikaj!

Vendar je to ena prvih stvari, ki se jih naučite, ko se naučite HTML.

Če razmišljate: "Rad bi izboljšal videz te spletne strani", se naučite CSS.

Torej, če pogledate nekaj teh primerov izvornega dokumenta, na katerega ste se povezali v članku, lahko ugotovite, da bo zelo težko narediti res dober ponaredek, razen če ste res dobri v CSS.

Toda če boste to storili pravilno, bo res težko ugotoviti, da gre za ponarejen dokument ...

... razen če naredite, kot ste rekli: poskusite ga potegniti iz okna in premikati po namizju, podobne stvari.

To vodi do vaše druge točke: skrbno preglejte sumljiva okna.

Veliko jih verjetno ne bo prestalo očesnega testa, če pa ga bodo, bo to zelo težko opaziti.

Kar nas pripelje do tretje stvari ...

"Če ste v dvomih/ne izdajte."

Če preprosto ne izgleda prav in ne morete dokončno povedati, da se dogaja nekaj čudnega, samo sledite rimi!

---

RACA.  In vredno je biti nezaupljiv do neznanih spletnih mest, spletnih mest, ki jih še niste uporabljali, ki nenadoma rečejo: »V redu, prosili vas bomo, da se prijavite s svojim Google Računom v Google Oknu ali Facebook v Facebook oknu. ”

Ali Steam v oknu Steam.

---

DOUG.  Da.

Sovražim, da tukaj uporabljam besedo na B, vendar je to skoraj briljantno v svoji preprostosti.

Ampak še enkrat, res bo težko doseči popolno ujemanje pikslov z uporabo CSS in podobnih stvari.

---

RACA.  Mislim, da si je pomembno zapomniti, da bo naslovna vrstica videti pravilno, ker je del simulacije »krom« [žargon za komponente uporabniškega vmesnika brskalnika] brskalnika.

Morda je videti celo popolno.

Ampak stvar je v tem, da to ni naslovna vrstica ...

... to je *slika* naslovne vrstice.

---

DOUG.  Točno!

V redu, previdno tam zunaj, vsi!

In ko že govorimo o stvareh, ki niso takšne, kot se zdijo, berem o izsiljevalski programski opremi DEADBOLT in napravah QNAP NAS in zdi se mi, kot da smo pravkar razpravljali o tej zgodbi nedolgo nazaj.

---

RACA.  Da, smo napisano o tem letos na žalost večkrat na Naked Security.

To je eden tistih primerov, ko se izkaže, da je tisto, kar je lopovom enkrat uspelo, dvakrat, trikrat, štirikrat, petkrat.

In NAS, oz Shranjeno omrežje naprave so, če želite, strežniki črne skrinjice, ki jih lahko kupite – običajno poganjajo nekakšno jedro Linuxa.

Ideja je, da namesto da bi morali kupiti licenco za Windows ali se naučiti Linuxa, namestite Sambo, jo nastavite, se naučite deliti datoteke v vašem omrežju ...

... samo priključite to napravo in "Bingo", začne delovati.

To je spletno dostopen datotečni strežnik in na žalost, če je v datotečnem strežniku ranljivost in ste (po nesreči ali namerno) omogočili dostop do njega prek interneta, potem lahko sleparji morda izkoristijo to ranljivost, če obstaja v to napravo NAS, od daleč.

Morda bodo lahko premešali vse datoteke na ključni lokaciji za shranjevanje vašega omrežja, ne glede na to, ali gre za domače omrežje ali omrežje malih podjetij, in vas v bistvu zadržali za odkupnino, ne da bi vam bilo treba skrbeti, da bodo napadli posamezne druge naprave, kot so prenosniki in telefoni na vašem omrežje.

Torej se jim ni treba ubadati z zlonamerno programsko opremo, ki okuži vaš prenosnik, in ni jim treba vdreti v vaše omrežje in tavati naokoli kot tradicionalni kriminalci izsiljevalske programske opreme.

V bistvu premešajo vse vaše datoteke, nato pa – da predstavijo obvestilo o odkupnini – samo spremenijo (ne smem se smejati, Doug) … samo spremenijo stran za prijavo na vaši napravi NAS.

Torej, ko ugotovite, da so vse vaše datoteke pomešane, in pomislite: »To je smešno« ter skočite s spletnim brskalnikom in se tam povežete, ne boste prejeli poziva za geslo!

Dobite opozorilo: »Vaše datoteke je zaklenil DEADBOLT. Kaj se je zgodilo? Vse vaše datoteke so bile šifrirane.«

In potem pridejo navodila, kako plačati.

---

DOUG.  Prav tako so prijazno ponudili, da bi lahko QNAP dal veliko vsoto za odklepanje datotek za vse.

---

RACA.  Posnetki zaslona, ​​ki jih imam v najnovejši članek na nakedsecurity.sophos.com kažejo:

1. Posamezna dešifriranja po 0.03 bitcoina, prvotno približno 1200 USD, ko je ta stvar postala razširjena, zdaj približno 600 USD.

2. Možnost BTC 5.00, pri kateri QNAP obvestijo o ranljivosti, da jo lahko popravijo, česar pa očitno ne bodo plačali, ker že vedo za ranljivost. (Zato je v tem posebnem primeru popravek.)

3. Kot pravite, obstaja možnost BTC 50 (to je zdaj 1 milijon dolarjev; ko je ta prva zgodba izbruhnila, je bila 2 milijona dolarjev). Če bo QNAP plačal 1,000,000 $ v imenu kogar koli, ki bi lahko bil okužen, bodo prevaranti očitno zagotovili glavni ključ za dešifriranje, če nimate nič proti.

In če pogledate njihov JavaScript, dejansko preveri, ali se geslo, ki ste ga vnesli, ujema z enim od *dveh* zgoščenih vrednosti.

Ena je edinstvena za vašo okužbo – prevaranti jo vsakič prilagodijo, tako da ima JavaScript v sebi zgoščeno vrednost in ne izda gesla.

In obstaja še ena zgoščena vrednost, ki, če jo lahko razkrijete, izgleda, kot da bi obnovila glavno geslo za vse na svetu ...

… Mislim, da so bili samo prevaranti, ki so vsi tiščali nosove.

---

DOUG.  Zanimivo je tudi, da je odkupnina v bitcoinih v višini 600 USD za vsakega uporabnika ... Nočem reči "ni nezaslišana", a če pogledate v razdelek s komentarji tega članka, obstaja več ljudi, ki ne govorijo le o tem, da so plačali odkupnina…

…vendar preskočimo na vprašanje našega bralca tukaj.

Bralec Michael deli svoje izkušnje s tem napadom in ni edini – v tem razdelku s komentarji so še drugi ljudje, ki poročajo o podobnih stvareh.

Med nekaj komentarji pravi (iz tega bom naredil odkrit komentar):

»Saj sem že šel skozi to in po plačilu odkupnine je vse v redu. Iskanje določene povratne kode z mojim ključem za dešifriranje je bilo najtežji del. Naučil sem se najdragocenejše lekcije.”

V svojem naslednjem komentarju prebere vse korake, ki jih je moral narediti, da bi stvari spet začele delovati.

In razjaha z:

»Nerodno mi je povedati, da delam v IT, delam že 20+ let in me je ugriznila ta napaka QNAP uPNP. Vesel sem, da sem skozi to.«

---

RACA.  Vau, ja, to je prava izjava, kajne?

Skoraj tako, kot da bi rekel: "Jaz bi se podprl pred temi prevaranti, a sem izgubil stavo in to me je stalo 600 dolarjev in ogromno časa."

Aaargh!

---

DOUG.  Kaj misli s tem »posebna povratna koda z njegovim opisnim ključem«?

---

RACA.  Ah, ja, to je zelo zanimivo ... zelo intrigantno. (Tu ne poskušam reči neverjetno-slash-briljantno.) [SMEH]

Nočem uporabiti besede v C in reči, da je "pametno", ampak na neki način je.

Kako stopiti v stik s temi prevaranti? Ali potrebujejo e-poštni naslov? Bi se dalo to izslediti? Ali potrebujejo temno spletno mesto?

Ti sleparji ne.

Ker ne pozabite, obstaja ena naprava in zlonamerna programska oprema je prilagojena in zapakirana, ko napade to napravo, tako da ima v njej edinstven naslov Bitcoin.

In v bistvu s temi prevaranti komunicirate tako, da v njihovo denarnico plačate določen znesek bitcoinov.

Verjetno so zato ohranili razmeroma skromen znesek ...

… Nočem namigovati, da ima vsakdo 600 dolarjev, ki jih lahko vržejo stran za odkupnino, vendar ni tako, da se pogajate vnaprej, da bi se odločili, ali boste plačali 100,000 ali 80,000 ali 42,000 dolarjev.

Plačate jim znesek ... brez pogajanj, brez klepeta, brez e-pošte, brez neposrednega sporočanja, brez foruma za podporo.

Preprosto pošljete denar na določen naslov bitcoin in očitno bodo imeli seznam tistih naslovov bitcoin, ki jih spremljajo.

Ko denar prispe in vidijo, da je prispel, vedo, da ste (in samo vi) plačali, ker je ta koda denarnice edinstvena.

In potem naredijo tisto, kar je dejansko (uporabljam največje zračne ponudbe na svetu) "vračilo" v verigi blokov z uporabo transakcije z bitcoini v znesku, Doug, nič dolarjev.

In ta odgovor, ta transakcija, dejansko vključuje komentar. (Spomnite se Vdor v Poly Networks? Uporabili so komentarje verige blokov Ethereum, da bi poskušali reči: "Dragi, gospod Beli klobuk, ali nam ne boste vrnili vsega denarja?")

Torej plačate prevarantom in s tem sporočite, da želite sodelovati z njimi, oni pa vam vrnejo 0 $ plus komentar z 32 šestnajstiškimi znaki ...

... kar je 16 neobdelanih binarnih bajtov, kar je 128-bitni ključ za dešifriranje, ki ga potrebujete.

Tako se pogovarjaš z njimi.

In očitno so to razumeli na T – kot je rekel Michael, prevara deluje.

In edina težava, ki jo je imel Michael, je bila ta, da ni bil navajen kupovati bitcoinov ali delati s podatki verige blokov in ekstrahirati to povratno kodo, ki je v bistvu komentar v transakcijskem "plačilu", ki ga dobi nazaj za 0 USD.

Torej uporabljajo tehnologijo na zelo zvijačne načine.

V bistvu uporabljajo blockchain kot plačilno sredstvo in kot komunikacijsko orodje.

---

DOUG.  V redu, res zelo zanimiva zgodba.

Na to bomo pazili.

Najlepša hvala, Michael, da si poslal ta komentar.

Če imate zanimivo zgodbo, komentar ali vprašanje, ki bi ga radi poslali, ga bomo z veseljem prebrali v podcastu.

Lahko pošljete e-poštno sporočilo na tips@sophos.com, lahko komentirate katerega koli od naših člankov ali pa nas kontaktirate na socialnem omrežju: @NakedSecurity.

To je naša današnja oddaja – najlepša hvala za poslušanje.

Za Paula Ducklina, jaz sem Doug Aamoth, do naslednjič vas spominjam, da…

---

OBOJE.  Bodite varni.

[GLASBENI MODEM]