瞄准Web3.0数字钱包的攻击运动剖析

宣布时间 2022-06-23

一、概 述


近期 ，尊龙凯官网入口ADLab监测到了一起针对移动加密钱币钱包的恶意攻击运动 ，被攻击的钱包平台均以数字钱包为切入口 ，主打Web3.0跨链生意、NFT数字藏品生意、元宇宙等热门领域的数字生意应用。Web3.0是基于区块链手艺、以用户为主体的新型网络生态。随着Web3.0、虚拟数字人、NFT、元宇宙等新一代数字看法的兴起 ，大宗人才、资源涌入 ，原来以加密钱币钱包为主业的公司将眼光瞄准生意环节以支持Web3.0等新平台的应用 ，而这种盲目而快速的投产 ，导致其开发的程序缺乏清静性 ，其中最要害的是这些APP并未做加固和防护 ，导致黑客对APP举行了恶意改动 ，危害了生意环节的清静性。


我们本次发明的攻击运动正是以钱包APP为主要目的 ，使用搜索引擎举行撒播的数字钱币窃取运动 ，主要攻击群体为中国区的用户。我们发明在百度的默认推荐要害词下 ，主流钱包“imToken”相关要害词的搜索效果列内外排名前五的站点所有是黑客安排的仿冒网站（黑客可能对此类要害词做了 SEO 优化） ，仿冒网站与官网高度相似。取得仿冒网站上的样本后 ，我们通太过析和溯源发明这批攻击运动最早可以追溯到今年2月份 ，并且被仿冒的工具还涉及到“Coinbase Wallet ”、“MetaMask wallet”和“TokenPocket”等主流的数字钱包应用。


二、攻击剖析


黑客接纳的主要攻击手段是代码改动和库注入手艺 ，划分应用Android和IOS平台的钱包APP ，关于Android平台 ，黑客接纳反编译手艺插入代码 ，然后再编译成为APK文件 ，由于IOS难以实现重编译手艺 ，以是黑客接纳动态库注入手艺和Hook手艺来实现。当受害者对钱包举行操作时 ，这些仿冒的APP就会偷偷地将对应加密钱币钱包的“mnemonic phrase”(助记词)回传至黑客端点。钱包助记词可以取代私钥天生收币地址、署名生意 ，是用户在区块链天下资产的唯一凭证 ，谁拥有了助记词 ，就拥有了对应地址上的资产。


图1.png

图1 攻击流程图


如图1所示 ，攻击者首先克隆并伪造“imToken” 、“Coinbase Wallet ”、“MetaMask wallet”、“TokenPocket”等数字钱包平台的官方网站 ，然后使用百度、搜狗、搜搜等搜索引擎来使得这些仿冒网站泛起在靠前的页面（这些恶意应用程序通过客户在百度等网络爬虫中识别的毗连撒播 ，由于对 SEO 优化的智能处置惩罚 ，这些恶意应用程序的链接会抵达百度等搜索站点中的热门位置 ，从而使它们排名靠前）。这些泛首先页且靠前的搜索效果诱使受害者翻开仿冒链接 ，并从这些仿冒网站下载装置带有恶意代码的钱包应用。由于这些恶意应用与真实应用从UI和功效上来说完全相同 ，被恶意改动的代码只在特殊时机触发并在后台偷偷地上传受害者的钱包助记词 ，纵然专业的使用者也很难区分 ，攻击者窃取到助记词后 ，通过内部系统自动将响应的数字钱币转移到黑客自己的加密钱币账户。


三、传 播


我们发明 ，虽然黑客组织也通过社交媒体渠道、论坛等方法推广其恶意应用 ，不过推广仍以百度、搜狗、搜搜等搜索引擎渠道为主。攻击者通过修改原始钱包 ，向其中添加恶意代码 ，天生“imToken” 、“Coinbase Wallet ”、“MetaMask wallet”和“TokenPocket”这些数字钱包的后门版本。然后通过仿冒这些数字钱包的官方网站 ，再使用搜索引擎将这些仿冒网站排到靠前的页面来撒播这些后门版本的应用。我们以百度搜索引擎为例举行说明：我们在百度搜索上输入”imtoken”会泛起默认搜索要害词列表 ，随机选“imtoken钱包APP下载网址” ，搜索效果如图2所示。


通过对第一页的10个搜索效果举行剖析验证后 ，发明其中有7个属于该组织的仿冒网站 ，甚至最靠前的5条效果中没有一条属于官方链接 ，所有都是仿冒网站 ，官方链接只排在第6的位置。


图2.png

图2 特定要害词的搜索效果


我们再在要害字中加入官方下载如“imtoken官方下载”举行搜索时 ，情形稍微有所改善 ，可是依然容易误导用户会见到仿冒网站。在首页的前5搜索效果中 ，有2个是该黑客组织的仿冒站点。


图3.png

图3 特定要害词的搜索效果


图4是一些仿冒网站翻开后的界面 ，图5是imtoken的官方界面�？梢钥吹� ，攻击者高度克隆了imtoken的官网界面来用于疑惑攻击目的。


图4.png

图4 仿冒网站界面


图5.png

图5 官方网站界面


我们将某次搜索效果（每次搜索同样的要害词时 ，搜索效果都不完全一致）第一页中前4个仿冒网站的相关数据列到表1。若是我们使用PC浏览器会见仿冒页面 ，点击仿冒页面中的连忙下载按钮 ，其会首先跳转到中心地址 ，然后加载APP的托管地址（这些中心地址和托管地址每次会爆发转变 ，我们仅列出某次会见时的地址） ，提醒用户用手机扫描二维码下载（如图6所示）  ；若是我们使用手机会见仿冒页面并点击连忙下载 ，则页面会直接下载相对应的APK文件（Android）或者设置文件（iPhone） ，见图7所示。


表1.png

表1 4个仿冒网站的相关链接


图6.png

图6 APP托管地址


图7.png

图7 Android和iPhone手机下载截图


这些仿冒页面是通过一其中心跳转页面加载获得的 ，我们以仿冒网站“https://www.xahazx.cn”为例举行说明：该页面如图8所示 ，不过若是我们向下拉该仿冒页面 ，就可以看到中心跳转页面 ，图9（注重右边转动条位置的转变）。


图8.png

图8 仿冒网站界面


图9.png

图9 中心跳转网站界面


四、关联剖析


我们从最最先拿到的imToken样本举行关联剖析 ，划分关联到了该黑客组织使用克隆网站撒播恶意数字钱币钱包“Coinbase Wallet ”和“MetaMask wallet” ，另外虽然关联到的恶意域名“tokenpocket.homes”不可会见了 ，可是凭证该黑客组织的攻击特征 ，我们相信该域名曾用于分发恶意“TokenPocket”数字钱币钱包。下面我们就此次的恶意钱包关联剖析举行先容。


我们从捕获到的imToken样本最先关联剖析。此imToken 样本 的下载地址为“https://lmtoken.earth/”（见图10）


图10.png

图10 克隆网站


我们会见该页面 ，并使用burpsuite抓包 ，看到了该页面代码中的图11一段代码 ，该段代码凭证会见装备的差别（Android、iPhone或PC端） ，展示差别的界面以指导受害者举行应用下载。


图11.png

图11 页面代码抓包


我们将差别的装备对应的下载地址 ，列到表2中�？梢钥吹� ，PC端和Android端对应的下载地址相同 ，均为“https://lmtoken.earth/apk/imToken-intl-v2.apk” ，而iPhone端地址为“https://imtoken.dqpxhi.xyz/3g2uv” ，该地址存放了下载恶意APP需要装置的设置文件。


表2.png

表2 差别的装备对应的下载地址


Android端会见该仿冒网站的首页截图和下载截图见图12 ，iPhone会见该仿冒网站首页的截图见图13 ，我们点击App Store下载 ，其会先从“https://imtoken.dqpxhi.xyz/3g2uv”下载设置文件 ，不过 ，该地址现在已经不可会见了 ，以是我们仅列出了iPhone翻开的界面。


图12.png

图12 仿冒网站的首页截图和下载截图


图13.png

图13 iPhone翻开的界面


我们以仿冒域名“lmtoken.earth”为线索举行关联剖析 ，如图14所示：域名“lmtoken.earth”在VT上有的三条剖析纪录 ，可以看到 ，该域名在今年2月27日被剖析到的IP地址为“142.4.108.251” ，3月23日被剖析到的IP地址划分为“172.67.216.146”和“104.21.86.75”。


图14.png

图14 域名“lmtoken.earth”在VT上的剖析纪录


在对这几个IP地址剖析后 ，我们发明IP地址“142.4.108.251”在2月27日关联到如图15的几个可疑的域名 ，其中有3个域名被VT报毒 ，我们从关联到的这几个域名的字面意思 ，不难看出它们是用作伪造数字钱币钱包 “Coinbase Wallet”、“MetaMask wallet”、“imToken ”和“TokenPocket”的仿冒域名。以是我们将进一步对这几个域名举行剖析。 


图15.png

图15 关联到的可疑域名


我们将这几个域名和它们目今的会见状态列到表3中 ，从表3中 ，我们可以知道 ，除了域名“colnbase.earth”和“lmtoken.earth”现在可以正常会见外 ，其他的域名都不可以正常会见 ，其中域名“metamasks.homes”和“metamask.earth”还被Edge和Safari浏览器判断为恶意。


表3.png

表3 相关域名


对这些域名进一步剖析后 ，我们发明域名“colnbase.homes”关联到恶意APP“CoinbaseWallet.apk” ，而该恶意应用又关联到多个恶意的域名 ，见图16。履历证域名“som-coinbase.com”和“token18.app”现在可以正常会见 ，其他的域名已经失效。我们下面就针对这两个还可以正常会见的域名举行详细剖析。


图16.png

图16关联到的域名


首先是域名“som-coinbase.com” ，其首页界面如图17所示 ，可以看到其克隆的是数字钱币钱包“Coinbase Wallet”的官方页面。


图17.png

图17 克隆数字钱币钱包“Coinbase Wallet”主页


我们点击“Download Coinbase Wallet”并使用burpsuite抓包剖析 ，见图18�？梢钥吹� ，网页中的js代码会凭证会见者的浏览器的“user agent”差别 ，将会见者指导到差别的网站去下载恶意应用。


图18.png

图18 下载页面抓包


我们将差别会见情形对应的下载地址列到表4中 ，我们看到电脑端和安卓端的下载地址相同 ，都是“https://som-coinbase.com/coinbase.apk” ，而苹果端为“https://pk3md.com/3xrJL.html” ，不过现在已经不可会见。


表4.png

表4 差别会见情形对应的下载地址


我们划分使用Android手机和iPhone会见网站“https://som-coinbase.com”。我们发明Chrome和Safari浏览器均给出了忠言。继续会见后 ，界面相同 ，差别的是点击下载按钮后 ，android会下载APK到装备 ，而iPhone会下载设置文件到装备。由于iPhone端的页面和Android相同 ，并且设置文件下载地址已经不可会见 ，以是图19仅列出Android端的主页和下载截图。


图19.png

图19 Android端主页和下载界面


同样地 ，我们接着剖析域名“token18.app” ，我们划分使用Edge和Safari浏览器会见“https://token18.app” ，效果发明Edge和Safari都给出了危险忠言 ，见图20。不过使用Firefox浏览器 ，则可以正常会见该地址 ，仿冒主页见图20。


图20.png

图20 Edge和Safari都给出了危险忠言

图21.png


图21 仿冒主页


当我们点击“Download now”按钮后 ，网页会判断差别的会见情形 ，以展示差别的下载界面 ，我们将差别的下载界面临应的下载地址列到表5中。


表5.png

表5 差别的下载界面临应的下载地址


由于下载界面区别不大 ，我们仅将Android手机会见后的下载页面列到图22中 ，Androids手机和iPhone端点击下载后的界面如图23所示 ，其中android端会直接下载APK到装备 ，而iPhone则下载两个设置文件“embedded.mobileprovision”和“Vek3.mobileconfig”后装置。


图22.png

图22 Android端的下载页面


图23.png

图23点击下载后的界面（Android和iPhone）


五、恶意代码剖析


我们下面以Android版本后门应用“imToken”和“Coinbase Wallet ”钱包为实例来剖析攻击者是怎样窃取受害者的数字钱币钱包“助记词”的。


5.1 “imToken”钱包样天职析


5.1.1 后门代码剖析



该样本为后门版本的“imToken”钱包应用 ，我们逆向该恶意样本后 ，发明图24的后门代码 ，其目的是将用户的“助记词”回传到攻击者控制的远程服务器。



图24.png

图24 后门代码


审查其交织引用（见图25） ，我们看到一共有两处引用了该后门代码 ，从字面意思“createIdentity”和“recoverIdentity”来看 ，划分是建设账户和恢复账户时挪用该段后门代码。字符串“aHR0cHM6Ly9hcGkudDBrZW5wb2NrZXQueHl6L3Uvc21zLw==”Base64解码后为“https://api.t0kenpocket.xyz/u/sms/” ，为恶意服务器的地址。后门代码是在天生助记词并以加密形式存储之前被挪用 ，这样受害用户在建设新钱包或将现有钱包添加到新装置的恶意应用程序的时间 ，助记词会被阻挡并回传到攻击者控制的远程服务器。


图25.png

图25 后门代码的交织引用


5.1.2 验证回传时机


我们在Android手机上装置该恶意应用后运行 ，如图26所示 ，该恶意应用翻开后 ，用户可以选择建设账户或恢复账户来进入该应用。


图26.png

图26 恶意应用最先的界面


我们划分建设和恢复账户时 ，对该应用抓包（见图27和图28） ，可以看到 ，当受害者建设或恢复账户时 ，恶意应用将受害者的“助记词”回传到攻击者控制的远程服务器。


图27.png

图27 用户建设账户时回传助记词


图28.png

图28 用户恢复账户时回传助记词


5.2 “Coinbase Wallet ”钱包样天职析


5.2.1 后门代码剖析


该样本为后门版本的“Coinbase Wallet ”钱包应用 ，我们逆向该恶意样本后 ，发明图29的后门代码 ，可以看到 ，厥后门代码和前文后门版本的“imToken”钱包很是相似。同样 ，其作用是将窃取的助记词发送到攻击者控制的远程服务器。该后门代码有一处挪用 ，挪用函数为“saveMnemonicToStorage”（见图30） ，字符串“aHR0cHM6Ly9jb2xuYmFzZS5ob21lcy91L3Ntcy8=”Base64解码后为“https://colnbase.homes/u/sms/” ，为恶意服务器的地址。


图29.png

图29 后门代码


图30.png


图30 后门代码的挪用


我们审查函数“saveMnemonicToStorage”的交织引用 ，发明总共挪用该函数的地方有6处（见图31 ，其中一个挪用包括新建钱包和登录钱包） ，经剖析我们发明这些引用处划分是建设钱包、登录钱包、修改生物识别允许（指纹ID ，面部ID）、切换认证方法为生物识别允许、切换认证方法为PIN码以及修改PIN码。


图31.png

图31 函数“saveMnemonicToStorage”的交织引用


同样地 ，我们在Android手机上装置该后门APP来验证“助记词”的回传时机。验证历程如下。


5.2.2 验证回传时机


5.2.2.1 新建钱包


翻开“Coinbase Wallet”后门应用后 ，我们选择新建钱包 ，凭证操作办法设置PIN码后（见图32） ，我们使用burpsuite抓包（见图33） ，可以看到 ，恶意应用向恶意服务器地址“https://colnbase.homes/u/sms/”发送了窃取到的“助记词”。


图32.png

图32 新建钱包


图33.png

图33 新建钱包时抓包


5.2.2.2 登录钱包


若是我们选择“I already have a wallet” ，使用助记词登录钱包 ，凭证操作办法设置PIN码后（见图34） ，我们同样使用burpsuite抓包（见图35） ，可以看到 ，恶意应用向恶意服务器地址“https://colnbase.homes/u/sms/”发送了窃取到的“助记词”。


图34.png


图34 登录已有钱包


图35.png


图35 登录已有钱包时抓包


5.2.2.3 修改PIN码


接着 ，我们登录乐成钱包后 ，选择修改PIN码（见图36） ，我们再次使用burpsuite抓包（见图37） ，可以看到 ，恶意应用向恶意服务器地址“https://colnbase.homes/u/sms/”发送了窃取到的“助记词”。


图36.png

图36 修改PIN码


图37.png


图37 修改PIN码时抓包


5.2.2.4 其他时机


我们也验证了应用锁定验证方法切换的时间 ，后门代码被挪用的情形。当锁定方法由PIN码切换成生物特征ID（指纹ID或面部ID）或者由生物特征ID切换成PIN码时 ，助记词都会被回传到攻击者控制的远程服务器（图38仅列出由PIN码切换为生物特征ID的界面）。另外 ，可能是由于我们的Android装备不具有面部ID ，以是不可触发修改生物验证（指纹ID和面部ID之间切换）这种情形的后门代码触发时机。


图38.png

图38 由PIN码切换为生物特征ID的界面


六、总 结


随着Web3.0热度的高升 ，大宗数字钱币钱包 ，数字钱币资产管理应用也获得大宗的用户流量。大部分用户下载这些APP的渠道仍然以搜索引擎为主 ，而本次攻击针对中国的搜索引擎做了专门的SEO优化 ，使得这些恶意的仿冒APP排名靠前 ，极大地增添了仿冒APP的撒播规模。由于仿冒APP险些接纳原APP所有代码 ，只是在APP加入了极为少量的恶意代码 ，导致APP使用者甚至是专业的用户都无法区分 ，因此APP加固和�  ；さ娜笔� ，是黑客能够攻击乐成的主要缘故原由。现在诸如Web3.0、NFT、元宇宙等热门新兴领域严重依赖于区块链举行资产的生意 ，这也会促使更多黑客加入这个玄色工业链条。自从加密数字钱币降生以来 ，就成为了地下灰色市场最为青睐的生意品之一。由于虚拟钱币的匿名性的特点 ，使得不法分子尤其对其偏幸 ，围绕着虚拟钱币的网络攻击也逐年增添 ，以获取虚拟钱币为目的的网络犯法运动也更是急剧增添 ，这已经生长成为一个不可忽略的清静问题。最后 ，我们提醒宽大用户从官方市肆装置应用程序 ，不装置泉源未知的应用程序。在不得不从第三方下载站点下载软件时 ，坚持小心 ，认真甄别 ，避免误下恶意应用 ，给自己造成不须要的贫困和损失。