Бразильский исследователь раскрыл сеть поддельных кошельков Ledger

• Поддельное устройство использовало другой чип, отличный от оригинального защищенного элемента.

• Операция включает приложения для Android, Windows, macOS и iOS через TestFlight.

Анонимный бразильский исследователь безопасности опубликовал в Reddit анализ поддельного устройства Ledger Nano S+, приобретенного на китайском маркетплейсе. Он обнаружил, что устройство содержит модифицированный чип и прошивку, а также измененные версии приложения Ledger Live, предназначенные для кражи средств у жертв.

Согласно отчету исследователя, поддельное устройство содержало чип ESP32-S3, обычный микроконтроллер, используемый в потребительской электронике, вместо ST33, защищенного элемента ( SE), который используется в оригинальном оборудовании Ledger, разработанном специально для хранения криптографических ключей в изолированной и защищенной от физических атак среде. Маркировка на чипе была физически удалена, чтобы затруднить его идентификацию.

Прошивка идентифицировалась как «Ledger Nano S+ V2.1», версии, которая не существует. При анализе памяти устройства исследователь обнаружил, что фразы-пароли и PIN-коды хранятся в открытом виде, без какого-либо шифрования, что означает, что любой, имеющий доступ к устройству, может прочитать их напрямую.

Кроме того, прошивка автоматически подключается к внешнему серверу, контролируемому злоумышленниками, согласно отчету, и любая введенная фраза-пароль немедленно отправляется злоумышленнику.

Устройство способно опустошать кошельки примерно в 20 различных сетях, уточнил бразильский исследователь.

Поддельные кошельки Ledger, продаваемые злоумышленниками. Источник: Reddit.

Пять одновременных векторов атаки

Согласно исследователю, продавец также распространял модифицированную версию Ledger Live, официального приложения, которое пользователи устанавливают на свои телефоны или компьютеры для управления своим устройством.

Это поддельное приложение для Android перехватывает команды между устройством и телефоном и отправляет данные на вредоносные серверы с помощью скрытых сетевых запросов. Такое модифицированное приложение не требует от пользователя ввода фразы-пароля вручную, поскольку оно перехватывает информацию в момент, когда пользователь обычно работает со своим устройством.

Для Windows и macOS исследователь выявил вредоносные исполняемые файлы, похожие на те, что использовались в кампаниях, ранее задокументированных специалистами по безопасности.

Для iOS операция использовала TestFlight, платформу для распространения тестовых версий приложений от Apple, которая позволяет устанавливать приложения без прохождения проверки в App Store, тем самым обходя основной фильтр безопасности этой экосистемы.

Поддельные кошельки Ledger позволяли злоумышленникам сливать средства пользователей. Источник: Reddit.

В общей сложности, согласно отчету, операция охватывает пять одновременных векторов: поддельное оборудование, приложение для Android, исполняемый файл для Windows, исполняемый файл для macOS и распространение для iOS.

Исследователь со ссылкой на свой пост на Reddit привел случаи, задокументированные на форуме BitcoinTalk, когда пользователи потеряли более 200 000 долларов США из-за поддельных устройств, приобретенных на сторонних маркетплейсах.

Его рекомендации конкретны: покупать Ledger только на официальном сайте или у авторизованных реселлеров, не доверять проверкам подлинности, выполняемым самим программным обеспечением устройства, если оборудование скомпрометировано с завода, и немедленно уничтожать любое устройство, которое поставляется с предварительно сгенерированным seed-ключом или которое запрашивает ввод фразы восстановления в приложении.

Некоторые ключевые советы для защиты от утечек данных. Источник: CriptoNoticias.

Повторяющийся шаблон

Аналогичная схема мошенничества была раскрыта 12 апреля командой Dark Web Informer, которая предупредила, что злоумышленники продают в даркнете комплект для фишинга, предназначенный для имитации интерфейсов Ledger, с функциями защиты от обнаружения, регистрации нажатий клавиш и уведомлениями в режиме реального времени через Telegram, о чем сообщало CriptoNoticias.

В связи с этим отчетом, хотя и без установленной связи, один пользователь заявил в X, что потерял 5,9 биткойна, что эквивалентно примерно 423 000 долларам США, после загрузки поддельного приложения Ledger из App Store Apple.

Выявляется схема, сочетающая в себе поддельное оборудование, вредоносные приложения и фишинговые наборы, нацеленные на одну и ту же цель: 12- или 24-словную фразу восстановления, которая дает полный доступ к средствам кошелька (wallet) [https://www.criptonoticias.com/criptopedia/wallet-bitcoin-criptomonedas-semilla-hardware-seguridad/].

Компания Ledger, после того как в сети распространилась информация о краже 5,9 BTC, выпустила заявление, в котором напомнила, что никогда не запрашивает эту фразу ни через какой канал, никогда не связывается с пользователями посредством личных сообщений и распространяет свое официальное приложение исключительно со своего официального сайта.

Теги: Криптовалюты Хакер Ledger Wallet Последние новости Региональные новости Кошельки (Billetera, Cartera o Monedero)

У вас есть важная информация для наших журналистов? Свяжитесь с нами