هشدار: اکسپلویت دارکسورد در آی او اس کیف پول ها تهدیدی جدی است

سرتیک هشدار می‌دهد: اکسپلویت دارکسورد در آی او اس کیف پول‌های رمزنگاری را هدف می‌گیرد

شرکت امنیتی سرتیک هشداری با اولویت بالا درباره موج تازه‌ای از اکسپلویت‌های دارکسورد در آی او اس منتشر کرده که کیف پول‌های ارز دیجیتال و داده‌های حساس ذخیره‌شده در دستگاه را در معرض خطر قرار می‌دهد. طبق اعلان سرتیک در 6 نوامبر، زنجیرهٔ حمله می‌تواند تنها با بارگذاری یک صفحه وب مخرب در سافاری، نرم‌افزار جاسوسی را به آیفون‌های بدون وصله منتقل کند، و نیازی به اتصال کیف پول یا امضای کاربر وجود ندارد. برنامه‌های هدف‌گرفته‌شده گزارش‌شده شامل متامسک، تراست والت، فانتوم، اکسودوس و کوین‌بیس و همچنین پسوردها و عبارات بازیابی ذخیره‌شده در نقاط دیگر گوشی هستند.

چرا این موضوع برای کاربران ارزهای دیجیتال اهمیت دارد

برای هر کسی که دارایی دیجیتال دارد، اکسپلویتی که عبارات بازیابی، ورودی‌های کی‌چین یا پشتیبان‌های کیف پول را جمع‌آوری می‌کند، تهدیدی حیاتی است. زنجیرهٔ دارکسورد محدود به فریب کاربر برای تایید تراکنش‌ها نیست، بلکه از چندین آسیب‌پذیری آی او اس سوءاستفاده می‌کند تا نرم‌افزار جاسوسی نصب کند که می‌تواند برنامه‌های کیف پول نصب‌شده را شناسایی، داده‌های خصوصی را جمع‌آوری و دستورات از راه دور را اجرا کند. از آنجا که مهاجمان می‌توانند به‌طور خاموش و بی‌صدا اطلاعات ورود و عبارات بازیابی را به‌دست آورند، وجوه در کیف پول‌های آنلاین یا دستگاه‌های آلوده ممکن است بدون هیچ‌گونه اعلان روی صفحه تخلیه شوند.

بررسی فنی: شش آسیب‌پذیری و چند خانواده بدافزار

گروه اطلاعات تهدید گوگل زنجیرهٔ اکسپلویت را در 18 مارس مستند کرد و نشان داد که حمله شش نقص مجزا در آی او اس را ترکیب کرده تا دستگاه‌هایی با نسخه‌های آی او اس 18.4 تا 18.7 را به خطر بیندازد. با زنجیره‌سازی این آسیب‌پذیری‌ها، بازیگران مخرب قادر به نفوذ دستگاه و نصب پایدار اجزای بدافزار بودند که اطلاعات حساس را استخراج می‌کردند.

گوگل پس از بهره‌برداری موفق سه خانواده بدافزار مرتبط را مشاهده کرد که شامل GHOSTBLADE، GHOSTKNIFE و GHOSTSABER بودند. قابلیت‌های آن‌ها از جمع‌آوری غیرفعال داده تا عملکرد فرمان و کنترل از راه دور متفاوت بود. به‌ویژه GHOSTBLADE دیده شد که داده‌های کیف پول ارز دیجیتال، کی‌چین دستگاه، تاریخچه پیام‌ها، اطلاعات مرورگر، یادداشت‌های اپل و رسانه‌های شخصی را جمع‌آوری می‌کند. تلومتری کمپین‌ها عملیات علیه اهدافی در عربستان سعودی، ترکیه، مالزی و اوکراین را نشان داد و احتمال درگیر بودن فروشندگان نظارت تجاری و اپراتورهای ممکن دولتی را مطرح کرد.

وضعیت وصله و نسخه‌های آی او اس متاثر

گوگل اعلام کرد که آسیب‌پذیری‌ها را به اپل گزارش کرده و وصله‌ها توسط آی او اس 26.3 منتشر شده‌اند و بسیاری از اصلاحات زودتر عرضه شده بودند. با این حال، دستگاه‌هایی که روی نسخه‌های قدیمی‌تر آی او اس باقی مانده‌اند، به‌ویژه آی او اس 18.4 تا 18.7، تا زمان به‌روزرسانی در معرض خطرند. کاربرانی که قادر به به‌روزرسانی فوری نیستند باید فرض کنند هر محتوای حساس ذخیره‌شده در دستگاه در معرض خطر است و اقدامات حفاظتی را انجام دهند.

P7 دارکسورد: یک واریانت جاسوسی پالایش‌شده با کنترل از راه دور

شرکت مستقل امنیت موبایل آی‌وریفای در گزارشی در 8 اکتبر یک واریانت پالایش‌شده را با نام رمزی پی۷ افشا کرد پس از تحقیق روی یک آلودگی روی دستگاه یک مشتری. پی۷ ردپای جنایی (فورنسیک) خود را کاهش می‌دهد، ثبات را بهبود می‌بخشد و ارتباط دوطرفه با زیرساخت‌های کنترل‌شده توسط مهاجم برقرار می‌کند. این ایمپلنت برخی لاگ‌گذاری‌ها را حذف کرده، تزریق‌های فرایندی را کاهش داده و از ذخیره‌سازی مرورگر برای دشوارتر کردن بهره‌برداری مکرر استفاده کرده است.

پی۷ شامل دستوراتی برای فهرست‌بندی برنامه‌های کیف پول نصب‌شده و استخراج داده‌های مخصوص کیف پول بود، محققان به ویژه به imToken به‌عنوان یکی از اهداف اشاره کردند. این ایمپلنت همچنین می‌توانست یادداشت‌های اپل، عکس‌ها، داده‌های برنامه و فراداده دستگاه را جمع‌آوری کند. به‌صورت پیش‌فرض هر 15 ثانیه برای دریافت دستورالعمل سرور خود را پرس‌وجو می‌کرد، اما اپراتورها می‌توانستند این بازه را تغییر دهند. بر خلاف نمونه‌های قبلی که پایگاه داده کامل کی‌چین را برای پردازش از راه دور بیرون‌کشیده بودند، پی۷ محتوای کی‌چین را به‌صورت محلی پارس کرده و سپس مجموعه‌ای کاهش‌یافته از داده‌ها را به اپراتورها ارسال می‌کرد.

چگونه بدافزار به دستگاه‌ها می‌رسد: تبلیغات مخرب و دامنه‌های منقضی‌شده

روش‌های تحویل مشاهده‌شده توسط آی‌وریفای و ریپورت یوآرآی شامل تبلیغات مخرب و یکپارچه‌سازی‌های وب ربوده‌شده بود که نیازی به کلیک نداشت. در یک مورد، یک تبلیغ اینستاگرامی با تم جام جهانی دستگاه را در حالی آلوده کرد که کاربر فقط فید خود را اسکرول می‌کرد. ریپورت یوآرآی یک کمپین به نام DeadTag را دنبال کرد که از دامنه‌های تحلیلی و خدمات تبلیغاتی منقضی‌شده سوءاستفاده می‌کرد که مهاجمان آن‌ها را دوباره ثبت کرده و برای هدایت مجدد یکپارچه‌سازی‌های جاسازی‌شده در هزاران سایت استفاده کردند.

محققان صدها دامنهٔ دوباره‌ثبت‌شده را که در بسیاری از وب‌سایت‌ها جاسازی شده بودند یافتند و تخمین زدند شبکهٔ مخرب می‌تواند حدود 135 میلیون بازدید ماهانه دریافت کند. برخی صفحات فرود به‌طور خاص طوری طراحی شده بودند که هنگام بارگذاری محتوا روی دستگاه‌های آسیب‌پذیر واریانت‌های دارکسورد را به‌صورت خودکار تحویل دهند، بنابراین قربانیان نیازی به ضربه زدن روی لینک برای آلوده‌شدن نداشتند.

راهنمای عملی: چگونه از دارایی‌ها و حساب‌های رمزنگاری محافظت کنیم

سرتیک و دیگر محققان گام‌های عملی و فوری زیر را برای کاربرانی که ارز دیجیتال یا گواهی‌های حساس حساب دارند توصیه می‌کنند:

• آی او اس را فوراً به‌روزرسانی کنید: جدیدترین به‌روزرسانی‌های امنیتی آی او اس را از مسیر تنظیمات > عمومی > به‌روزرسانی نرم‌افزار نصب کنید.
• فرض آسیب‌دیدگی برای دستگاه‌های در معرض: اگر مشکوک به آلودگی گوشی هستید، وجوه را به یک کیف پول جدید که روی دستگاهی پاک و به‌روز ایجاد شده منتقل کنید و هرگز عبارت بازیابی قدیمی را دوباره استفاده نکنید.
• عبارات بازیابی را از حافظهٔ دستگاه حذف کنید: عبارت‌های بازیابی را در عکس‌ها، یادداشت‌ها، اسکرین‌شات‌ها یا برنامه‌های پیام‌رسان ذخیره نکنید.
• برای دارایی‌های بزرگ از کیف پول‌های سخت‌افزاری استفاده کنید: کلیدهای خصوصی را هرچه ممکن آفلاین نگهداری کنید تا ریسک کیف پول‌های آنلاین کاهش یابد.
• برای کاربران پرخطر حالت لاک‌داون را فعال کنید: گوگل و سرتیک هر دو توصیه کردند در صورتی که امکان به‌روزرسانی فوری نیست، حالت لاک‌داون را فعال کنید.
• پسوردها و گواهی‌ها را بازنشانی کنید: آی‌وریفای توصیه کرد رمزهای ذخیره‌شده در کی‌چین گوشی آسیب‌دیده را تغییر داده و حساب‌ها را برای فعالیت‌های غیرعادی بررسی کنید.

نتیجه‌گیری برای جامعهٔ رمزنگاری

دارکسورد نشان می‌دهد اکسپلویت‌های قدرتمند مبتنی بر وب در آی او اس تا چه حد می‌توانند برای سرقت اطلاعات کیف پول ارزهای دیجیتال موثر باشند، حتی بدون هیچ تعامل مستقیم با کیف پول. ترکیب تبلیغات مخرب، دامنه‌های دوباره‌ثبت‌شده و یک متد آلودگی با تعامل کم، این تهدید را برای کاربرانی که عبارات بازیابی یا پشتیبان کیف پول را روی موبایل ذخیره می‌کنند جدی می‌کند. قوی‌ترین دفاع‌ها شامل به‌روزرسانی به‌موقع آی او اس، اجتناب از لینک‌ها و تبلیغات ناشناس یا مشکوک، انتقال دارایی‌های مهم به کیف پول‌های سخت‌افزاری و ساخت عبارات بازیابی جدید روی یک دستگاه پاک تأییدشده در صورت مشکوک شدن به نفوذ است.

برای کاربران کیف پول‌های تحت نگهداری یا طرف سوم، هشدارها و اعلان‌های صرافی و سرویس‌های کیف پول را پیگیری کنید و همهٔ محافظت‌های قابل‌دسترس حساب مانند احراز هویت دومرحله‌ای را فعال کنید. آگاهی از افشاسازی‌های اکسپلویت توسط گوگل، سرتیک و محققان مستقل امنیتی حیاتی است، زیرا مهاجمان پیوسته روش‌های خود را تکامل می‌دهند و به همان اندازه باید شیوه‌های امنیتی کیف پول نیز تکامل یابد.