Поддельный аппаратный кошелек Ledger раскрыт: скрытый чип крадет seed-фразы и PIN-коды

Бразильский исследователь в области кибербезопасности раскрыл масштабную мошенническую операцию после покупки "аппаратного кошелька Ledger" на китайском маркетплейсе, где объявление выглядело легитимным и имело ту же цену, что и в официальном магазине. Упаковка казалась оригинальной на расстоянии, но устройство оказалось поддельным.

Когда исследователь подключил его к Ledger Live, установленной с сайта ledger.com, она не прошла проверку подлинности, что подтвердило, что это не является настоящим устройством Ledger. Эта ошибка заставила исследователя открыть устройство и изучить его внутреннее оборудование и прошивку.

Клонированные веб-сайты и вредоносные приложения

Внутри корпуса исследователь обнаружил совершенно другой чип, не тот, который используется в аппаратном кошельке. Маркировка на чипе была физически удалена, чтобы скрыть идентификацию. Согласно публикации исследователя на Reddit, устройство также содержало антенны Wi-Fi и Bluetooth, которых нет в настоящем Ledger Nano S+. Анализируя схему чипа, они определили его как ESP32-S3 с внутренней флэш-памятью.

При загрузке устройство первоначально маскировалось под Ledger Nano S+ 7704 с серийными номерами и идентификацией завода Ledger, но позже раскрыло своего настоящего производителя как Espressif Systems.

После извлечения прошивки и ее обратной разработки исследователь обнаружил, что PIN-код, созданный на устройстве, хранился в открытом виде. Seed-фразы кошельков, созданных на устройстве, также хранились в открытом виде. Прошивка также содержала несколько жестко закодированных ссылок на домены, указывающих на внешние серверы управления и контроля. Эти данные показали, что устройство было разработано для сбора конфиденциальных данных кошельков с передачей на внешние серверы.

Исследователь также изучил, как могла бы работать эта атака на практике. Хотя в аппаратном обеспечении были антенны Wi-Fi и Bluetooth, в прошивке не было обнаружено никаких признаков беспроводной передачи данных или подключения к точкам доступа Wi-Fi. Также в ней не было вредоносных USB-скриптов для внедрения нажатий клавиш или команд терминала. Вместо этого, похоже, что атака полагается на взаимодействие пользователя вне самого устройства.

По их словам, мошенничество начинается, когда пользователь сканирует QR-код, включенный в упаковку. Этот QR-код ведет на клонированный веб-сайт, который выглядит как ledger.com. Оттуда пользователей просят загрузить поддельное приложение "Ledger Live" для Android, iOS, Windows или Mac. Поддельное приложение показывает поддельную экран проверки подлинности, который всегда проходит. Пользователи затем создают кошельки и записывают seed-фразы, полагая, что настройка безопасна. Тем временем, поддельное приложение передает seed-фразы на серверы, контролируемые злоумышленниками.

Вам также может понравиться:

• Аналитик защищает позицию Circle о заморозке средств, полученных в результате хакерской атаки на Drift на сумму 280 миллионов долларов.
• Министерство финансов США расширяет возможности получения разведывательной информации банковского уровня для криптосектора.
• Компания Aethir избежала серьезного кризиса после устранения хакерской атаки на мост: убытки составили менее 90 000 долларов.

Исследователь декомпилировал Android APK-версию поддельного приложения Ledger Live и обнаружил дополнительное вредоносное поведение. Приложение было разработано с использованием React Native и движка Hermes. Оно было подписано с использованием отладочного сертификата Android вместо правильного ключа подписи. Оно перехватывало APDU-команды между приложением и устройством, осуществляло скрытые запросы к внешним серверам и продолжало работать в фоновом режиме в течение нескольких минут после закрытия.

Оно также запрашивало разрешения на доступ к местоположению и отслеживало балансы кошельков, используя открытые ключи, что позволяло злоумышленникам отслеживать депозиты и суммы.

Не уязвимость в системе безопасности Ledger

Исследователь заявил, что это не уязвимость нулевого дня и не дефект в архитектуре безопасности Ledger. Было подтверждено, что функции Genuine Check и Secure Element работают правильно. Вместо этого, это описывается как фишинговая операция, включающая контрафактное оборудование, вредоносные приложения и внешнюю инфраструктуру. Полная операция включает в себя аппаратные устройства с чипами ESP32-S3, зараженные приложения для Android и других платформ, а также серверы управления, используемые для кражи данных.

Исследователь также добавил, что о поддельных устройствах Ledger сообщалось ранее, но этот случай отличается тем, что он описывает всю систему, включая оборудование, приложения, инфраструктуру и распространение через компанию-подставу, связанную с объявлениями на торговых площадках. Исследователь предоставил отчет команде Customer Success компании Ledger и готовит подробный технический анализ версий вредоносного ПО для Windows, macOS и iOS.

Несколько лет назад другой пользователь Reddit сообщил о получении Ledger Nano X в упаковке, выглядевшей подлинной, но письмо внутри вызвало опасения из-за ошибок в орфографии и грамматике. В письме утверждалось, что это замена после утечки данных.

Позднее эксперт по безопасности обнаружил, что устройство имело флеш-накопитель, подключенный к USB-разъему, который был предназначен для доставки вредоносного ПО и потенциальной кражи.