Tiêu đề gốc: "Wolf in Sheep's Clothing | Phân tích hành vi trộm cắp tiện ích mở rộng giả mạo của Chrome"

Tác giả gốc: Shan, Thought, Nhóm bảo mật SlowMist

Bối cảnh

Vào ngày 1 tháng 3 năm 2024, theo phản hồi từ người dùng Twitter @doomxbt, tài khoản Binance của anh ấy có những điểm bất thường và số tiền bị nghi ngờ đã bị đánh cắp:

(https:// x.com/doomxbt/status/1763237654965920175)

Sự việc này ban đầu không thu hút nhiều sự chú ý, nhưng vào ngày 28 tháng 5 năm 2024, người dùng Twitter @ Tree_of_Alpha phân tích đã tìm thấy rằng nạn nhân @doomxbt bị nghi ngờ cài đặt tiện ích mở rộng Aggr độc hại có nhiều đánh giá tích cực trên cửa hàng Chrome! Nó có thể đánh cắp tất cả cookie từ các trang web mà người dùng truy cập và 2 tháng trước có người đã trả tiền cho một số người có ảnh hưởng để quảng cáo nó.

(https:// x.com/Tree_of_Alpha/status/1795403185349099740)

Vụ việc này ngày càng thu hút sự chú ý trong hai ngày qua, thông tin đăng nhập của một số nạn nhân đã bị đánh cắp sau khi đăng nhập và sau đó tin tặc đã vượt qua Nhiều người dùng đã tham khảo ý kiến của nhóm bảo mật SlowMist về hành vi trộm cắp tài sản tiền điện tử của nạn nhân. Tiếp theo, chúng tôi sẽ phân tích chi tiết cuộc tấn công và gióng lên hồi chuông cảnh báo cho cộng đồng mã hóa.

Phân tích

Đầu tiên, chúng ta phải tìm ra tiện ích mở rộng độc hại này. Mặc dù Google đã loại bỏ tiện ích mở rộng độc hại nhưng chúng ta có thể xem một số dữ liệu lịch sử thông qua thông tin chụp nhanh.

Sau khi tải xuống, hãy phân tích tệp JS từ thư mục là nền. js. content.js, jquery-3.6.0.min.js, jquery-3.5.1.min.js.

Trong quá trình phân tích tĩnh, chúng tôi nhận thấy rằng Background.js và Content.js không có quá nhiều mã phức tạp và không có logic mã đáng ngờ rõ ràng, nhưng chúng tôi đã tìm thấy một liên kết đến trang web và sẽ gửi dữ liệu mà plugin thu được tới https[:]//aggrtrade-extension[.]com/statistics_collection/index[.]php.

Bằng cách phân tích tệp kê khai.json, bạn có thể thấy rằng nền sử dụng /jquery /jquery-3.6.0.min.js, nội dung sử dụng /jquery/jquery-3.5.1.min.js, vì vậy hãy tập trung phân tích hai tệp jquery này:

Chúng tôi đã tìm thấy mã độc đáng ngờ trong jquery/jquery-3.6.0.min.js. Mã này sẽ được xử lý thông qua JSON. và gửi đến trang web: https[:]//aggrtrade-extension[.]com/statistics_collection/index[.]php.

Sau khi phân tích tĩnh, để phân tích chính xác hơn dữ liệu được gửi bởi Hành vi của tiện ích mở rộng độc hại, chúng tôi bắt đầu cài đặt và gỡ lỗi tiện ích mở rộng. (Lưu ý: Việc phân tích phải được thực hiện trong môi trường thử nghiệm mới. Không có tài khoản nào được đăng nhập vào môi trường và trang web độc hại phải được thay đổi thành một trang do chính bạn kiểm soát để tránh gửi dữ liệu nhạy cảm đến máy chủ của kẻ tấn công trong quá trình thử nghiệm)

Sau khi cài đặt tiện ích mở rộng độc hại trong môi trường thử nghiệm, hãy mở bất kỳ trang web nào, chẳng hạn như google.com, sau đó quan sát các yêu cầu mạng trong nền của tiện ích mở rộng độc hại và tìm rằng dữ liệu cookie của Google được gửi tới Máy chủ bên ngoài:

Chúng tôi cũng thấy mã độc hại tiện ích mở rộng được gửi bởi dịch vụ Weblog Dữ liệu cookie:

Tại thời điểm này, nếu kẻ tấn công lấy được xác thực người dùng, thông tin xác thực, v.v. Thông tin, bằng cách sử dụng tiện ích mở rộng trình duyệt để chiếm quyền điều khiển cookie, bạn có thể tiến hành các cuộc tấn công trực tiếp vào một số trang web giao dịch và đánh cắp tài sản tiền điện tử của người dùng.

Hãy cùng phân tích liên kết độc hại https[:]//aggrtrade-extension[.]com/statistics_collection/index[.]php.

Tên miền liên quan: aggrtrade-extension[.]com

Giải quyết thông tin tên miền trong hình trên:

.ru có vẻ là người dùng điển hình đến từ khu vực nói tiếng Nga nên rất có thể đó là nhóm hacker người Nga hoặc Đông Âu.

Dòng thời gian tấn công:

Phân tích trang web độc hại aggrtrade giả mạo AGGR (aggr.trade ) -extension[.]com, phát hiện ra rằng hacker đã bắt đầu lên kế hoạch tấn công từ 3 năm trước:

4 tháng trước, hacker đã triển khai tấn công:

Theo Mạng hợp tác tình báo mối đe dọa InMist, chúng tôi phát hiện IP của hacker đặt tại Moscow, sử dụng VPS do srvape.com cung cấp và địa chỉ email là aggrdev@gmail.com.

Sau khi triển khai thành công, hacker bắt đầu quảng bá nó trên Twitter, chờ cá Hãy câu mồi. Mọi người đều biết câu chuyện đằng sau nó. Một số người dùng đã cài đặt các tiện ích mở rộng độc hại và sau đó các tập tin của họ bị đánh cắp.

Hình ảnh bên dưới là lời nhắc nhở chính thức của AggrTrade:

Tóm tắt

Nhóm bảo mật SlowMist nhắc nhở người dùng rằng rủi ro của các tiện ích mở rộng trình duyệt cũng gần như lớn như việc chạy tệp thực thi file trực tiếp , vì vậy hãy nhớ xem xét cẩn thận trước khi cài đặt. Đồng thời, hãy cẩn thận với những người gửi tin nhắn riêng tư cho bạn. Tin tặc và những kẻ lừa đảo hiện nay thích giả vờ là các dự án hợp pháp và nổi tiếng, đồng thời lừa gạt những người sáng tạo nội dung dưới danh nghĩa tài trợ, quảng cáo, v.v. Cuối cùng, khi bước vào khu rừng đen tối của blockchain, hãy luôn giữ thái độ hoài nghi và đảm bảo rằng những gì bạn cài đặt đều an toàn và không cho phép hacker lợi dụng.

Liên kết gốc

Chào mừng bạn tham gia cộng đồng chính thức của BlockBeats:

Nhóm Telegram đăng ký: https://t.me/theblockbeats

Nhóm Telegram thảo luận: https://t.me/BlockBeats_App

Tài khoản Twitter chính thức: https://twitter.com/BlockBeatsAsia