对准Web3.0数字钱包的攻击活动分析

颁布功夫 2022-06-23

一、概 述


近期，GA黄金甲ADLab监测到了一路针对移动加密钱币钱包的恶意攻击活动，被攻击的钱包平台均以数字钱包为切入口，主打Web3.0跨链买卖、NFT数字藏品买卖、元宇宙等热点领域的数字买卖利用。Web3.0是基于区块链技术、以用户为主体的新型网络生态。随着Web3.0、虚构数字人、NFT、元宇宙等新一代数字概想的鼓起，大量人才、本钱涌入，原来以加密钱币钱包为主业的公司将眼光对准买卖环节以支持Web3.0等新平台的利用，而这种盲目而急剧的投产，导致其开发的法式不足安全性，其中最关键的是这些APP并未做加固和防护，导致黑客对APP进行了恶意篡改，风险了买卖环节的安全性。


我们本次发现的攻击活动正是以钱包APP为重要指标，利用搜索引擎进行传布的数字钱币窃取活动，重要攻击群体为中国区的用户。我们发此刻百度的默认推荐关键词下，主流钱包“imToken”有关关键词的搜索了局列内外排名前五的站点全数是黑客部署的仿冒网站（黑客可能对此类关键词做了 SEO 优化），仿冒网站与官网高度类似。获得仿冒网站上的样本后，我们通过度析和溯源发现这批攻击活动最早能够追忆到今年2月份，并且被仿冒的对象还涉及到“Coinbase Wallet ”、“MetaMask wallet”和“TokenPocket”等主流的数字钱包利用。


二、攻击分析


黑客选取的重要攻击伎俩是代码篡改和库注入技术，别离利用Android和IOS平台的钱包APP，对于Android平台，黑客选取反编译技术插入代码，而后再编译成为APK文件，由于IOS难以实现沉编译技术，所以黑客选取动态库注入技术和Hook技术来实现。当受害者对钱包进行操作时，这些仿冒的APP就会偷偷地将对应加密钱币钱包的“mnemonic phrase”(助记词)回传至黑客端点。钱包助记词能够包办私钥天生收币地址、署名买卖，是用户在区块链世界资产的唯一凭证，谁占有了助记词，就占有了对应地址上的资产。


图1.png

图1 攻击流程图


如图1所示，攻击者首先克隆并伪造“imToken” 、“Coinbase Wallet ”、“MetaMask wallet”、“TokenPocket”等数字钱包平台的官方网站，而后利用百度、搜狗、搜搜等搜索引擎来使得这些仿冒网站呈此刻靠前的页面（这些恶意利用法式通过客户在百度等网络爬虫中识此外衔接传布，由于对 SEO 优化的智能处置，这些恶意利用法式的链接会达到百度等搜索站点中的热点地位，从而使它们排名靠前）。这些出现首页且靠前的搜索了局诱使受害者打开仿冒链接，并从这些仿冒网站下载装置带有恶意代码的钱包利用。由于这些恶意利用与真实利用从UI和职能上来说齐全一样，被恶意篡改的代码只在特殊机遇触发并在后盾偷偷地上传受害者的钱包助记词，即便专业的使用者也很难分辨，攻击者窃取到助记词后，通过内部系统自动将相应的数字钱币转移到黑客自己的加密钱币账户。


三、传 播


我们发现，固然黑客组织也通过社交媒体渠路、论坛等方式推广其恶意利用，不外推广仍以百度、搜狗、搜搜等搜索引擎渠路为主。攻击者通过批改原始钱包，向其中增长恶意代码，天生“imToken” 、“Coinbase Wallet ”、“MetaMask wallet”和“TokenPocket」剽些数字钱包的后门版本。而后通过仿冒这些数字钱包的官方网站，再利用搜索引擎将这些仿冒网站排到靠前的页面来传布这些后门版本的利用。我们以百度搜索引擎为例进行注明：我们在百度搜索上输入”imtoken”会出现默认搜索关键词列表，随机选“imtoken钱包APP下载网址”，搜索了局如图2所示。


通过对第一页的10个搜索了局进行分析验证后，发显熹中有7个属于该组织的仿冒网站，甚至最靠前的5条了局中没有一条属于官方链接，全数都是仿冒网站，官方链接只排在第6的地位。


图2.png

图2 特定关键词的搜索了局


我们再在关键字中参与官方下载如“imtoken官方下载”进行搜索时，情况稍微有所改善，但是依然容易误导用户接见到仿冒网站。在首页的前5搜索了局中，有2个是该黑客组织的仿冒站点。


图3.png

图3 特定关键词的搜索了局


图4是一些仿冒网站打开后的界面，图5是imtoken的官方界面�Ｄ芄豢吹�，攻击者高度克隆了imtoken的官网界面来用于蛊惑攻击指标。


图4.png

图4 仿冒网站界面


图5.png

图5 官方网站界面


我们将某次搜索了局（每次搜索同样的关键词时，搜索了局都不齐全一致）第一页中前4个仿冒网站的有关数据列到表1。若是我们使用PC浏览器接见仿冒页面，点击仿冒页面中确当即下载按钮，其会首先跳转到中央地址，而后加载APP的托管地址（这些中央地址和托管地址每次会产生变动，我们仅列出某次接见时的地址），提醒用户用手机扫描二维码下载（如图6所示）；若是我们使用手机接见仿冒页面并点击当即下载，则页面会直接下载相对应的APK文件（Android）或者配置文件（iPhone），见图7所示。


表1.png

表1 4个仿冒网站的有关链接


图6.png

图6 APP托管地址


图7.png

图7 Android和iPhone手机下载截图


这些仿冒页面是通过一个中央跳转页面加载得到的，我们以仿冒网站“https://www.xahazx.cn”为例进行注明：该页面如图8所示，不外若是我们向下拉该仿冒页面，就能够看到中央跳转页面，图9（把稳右边滚动条地位的变动）。


图8.png

图8 仿冒网站界面


图9.png

图9 中央跳转网站界面


四、关联分析


我们从最起头拿到的imToken样本进行关联分析，别离关联到了该黑客组织利用克隆网站传布恶意数字钱币钱包“Coinbase Wallet ”和“MetaMask wallet”，另表固然关联到的恶意域名“tokenpocket.homes”不能接见了，但是凭据该黑客组织的攻击特点，我们相信该域名曾用于分发恶意“TokenPocket”数字钱币钱包。下面我们就这次的恶意钱包关联分析进行介绍。


我们从捕获到的imToken样本起头关联分析。此imToken 样本 的下载地址为“https://lmtoken.earth/”（见图10）


图10.png

图10 克隆网站


我们接见该页面，并使用burpsuite抓包，看到了该页面代码中的图11一段代码，该段代码凭据接见设备的分歧（Android、iPhone或PC端），展示分歧的界面以疏导受害者进行利用下载。


图11.png

图11 页面代码抓包


我们将分歧的设备对应的下载地址，列到表2中�Ｄ芄豢吹�，PC端和Android端对应的下载地址一样，均为“https://lmtoken.earth/apk/imToken-intl-v2.apk”，而iPhone端地址为“https://imtoken.dqpxhi.xyz/3g2uv”，该地址存放了下载恶意APP必要装置的配置文件。


表2.png

表2 分歧的设备对应的下载地址


Android端接见该仿冒网站的首页截图和下载截图见图12，iPhone接见该仿冒网站首页的截图见图13，我们点击App Store下载，其会先从“https://imtoken.dqpxhi.xyz/3g2uv”下载配置文件，不外，该地址目前已经不能接见了，所以我们仅列出了iPhone打开的界面。


图12.png

图12 仿冒网站的首页截图和下载截图


图13.png

图13 iPhone打开的界面


我们以仿冒域名“lmtoken.earth”为线索进行关联分析，如图14所示：域名“lmtoken.earth”在VT上有的三条解析纪录，能够看到，该域名在今年2月27日被解析到的IP地址为“142.4.108.251”，3月23日被解析到的IP地址别离为“172.67.216.146”和“104.21.86.75”。


图14.png

图14 域名“lmtoken.earth”在VT上的解析纪录


在对这几个IP地址分析后，我们发现IP地址“142.4.108.251”在2月27日关联到如图15的几个可疑的域名，其中有3个域名被VT报毒，我们从关联到的这几个域名的字面意思，不难看出它们是用作伪造数字钱币钱包 “Coinbase Wallet”、“MetaMask wallet”、“imToken ”和“TokenPocket”的仿冒域名。所以我们将进一步对这几个域名进行分析。 


图15.png

图15 关联到的可疑域名


我们将这几个域名和它们当前的接见状态列到表3中，从表3中，我们能够知路，除了域名“colnbase.earth”和“lmtoken.earth”目前能够正常接见表，其他的域名都不成以正常接见，其中域名“metamasks.homes”和“metamask.earth”还被Edge和Safari浏览器判定为恶意。


表3.png

表3 有关域名


对这些域名进一步分析后，我们发现域名“colnbase.homes”关联到恶意APP“CoinbaseWallet.apk”，而该恶意利用又关联到多个恶意的域名，见图16。经验证域名“som-coinbase.com”和“token18.app”目前能够正常接见，其他的域名已经失效。我们下面就针对这两个还能够正常接见的域名进行具体分析。


图16.png

图16关联到的域名


首先是域名“som-coinbase.com”，其首页界面如图17所示，能够看到其克隆的是数字钱币钱包“Coinbase Wallet”的官方页面。


图17.png

图17 克隆数字钱币钱包“Coinbase Wallet”主页


我们点击“Download Coinbase Wallet”并使用burpsuite抓包分析，见图18�Ｄ芄豢吹�，网页中的js代码会凭据接见者的浏览器的“user agent”分歧，将接见者疏导到分歧的网站去下载恶意利用。


图18.png

图18 下载页面抓包


我们将分歧接见环境对应的下载地址列到表4中，我们看到电脑端和安卓端的下载地址一样，都是“https://som-coinbase.com/coinbase.apk”，而苹果端为“https://pk3md.com/3xrJL.html”，不外目前已经不能接见。


表4.png

表4 分歧接见环境对应的下载地址


我们别离使用Android手机和iPhone接见网站“https://som-coinbase.com”。我们发现Chrome和Safari浏览器均给出了忠告。持续接见后，界面一样，分歧的是点击下载按钮后，android会下载APK到设备，而iPhone会下载配置文件到设备。由于iPhone端的页面和Android一样，并且配置文件下载地址已经不能接见，所以图19仅列出Android端的主页和下载截图。


图19.png

图19 Android端主页和下载界面


同样地，我们接着分析域名“token18.app”，我们别离使用Edge和Safari浏览器接见“https://token18.app”，了局发现Edge和Safari都给出了危险忠告，见图20。不外使用Firefox浏览器，则能够正常接见该地址，仿冒主页见图20。


图20.png

图20 Edge和Safari都给出了危险忠告

图21.png


图21 仿冒主页


当我们点击“Download now”按钮后，网页会判断分歧的接见环境，以展示分歧的下载界面，我们将分歧的下载界面对应的下载地址列到表5中。


表5.png

表5 分歧的下载界面对应的下载地址


由于下载界面区别不大，我们仅将Android手机接见后的下载页面列到图22中，Androids手机和iPhone端点击下载后的界面如图23所示，其中android端会直接下载APK到设备，而iPhone则下载两个配置文件“embedded.mobileprovision”和“Vek3.mobileconfig”后装置。


图22.png

图22 Android端的下载页面


图23.png

图23点击下载后的界面（Android和iPhone）


五、恶意代码分析


我们下面以Android版本后门利用“imToken”和“Coinbase Wallet ”钱包为事俘来分析攻击者是若何窃取受害者的数字钱币钱包“助记词”的。


5.1 “imToken”钱包样本分析


5.1.1 后门代码分析



该样本为后门版本的“imToken”钱包利用，我们逆向该恶意样本后，发现图24的后门代码，其主张是将用户的“助记词”回传到攻击者节造的远程服务器。



图24.png

图24 后门代码


查看其交叉引用（见图25），我们看到一共有两处引用了该后门代码，从字面意思“createIdentity”和“recoverIdentity”来看，别离是创建账户和复原账户时挪用该段后门代码。字符串“aHR0cHM6Ly9hcGkudDBrZW5wb2NrZXQueHl6L3Uvc21zLw==”Base64解码后为“https://api.t0kenpocket.xyz/u/sms/”，为恶意服务器的地址。后门代码是在天生助记词并以加密大局存储之前被挪用，这样受害用户在创建新钱包或将现有钱包增长到新装置的恶意利用法式的时辰，助记词会被拦截并回传到攻击者节造的远程服务器。


图25.png

图25 后门代码的交叉引用


5.1.2 验证回传机遇


我们在Android手机上装置该恶意利用后运行，如图26所示，该恶意利用打开后，用户能够选择创建账户或复原账户来进入该利用。


图26.png

图26 恶意利用起头的界面


我们别离创建和复原账户时，对该利用抓包（见图27和图28），能够看到，当受害者创建或复原账户时，恶意利用将受害者的“助记词”回传到攻击者节造的远程服务器。


图27.png

图27 用户创建账户时回传助记词


图28.png

图28 用户复原账户时回传助记词


5.2 “Coinbase Wallet ”钱包样本分析


5.2.1 后门代码分析


该样本为后门版本的“Coinbase Wallet ”钱包利用，我们逆向该恶意样本后，发现图29的后门代码，能够看到，其后门代码和前文后门版本的“imToken”钱包极度类似。同样，其作用是将窃取的助记词发送到攻击者节造的远程服务器。该后门代码有一处挪用，挪用函数为“saveMnemonicToStorage”（见图30），字符串“aHR0cHM6Ly9jb2xuYmFzZS5ob21lcy91L3Ntcy8=”Base64解码后为“https://colnbase.homes/u/sms/”，为恶意服务器的地址。


图29.png

图29 后门代码


图30.png


图30 后门代码的挪用


我们查看函数“saveMnemonicToStorage”的交叉引用，发现总共挪用该函数的处所有6处（见图31，其中一个挪用蕴含新建钱包和登录钱包），经分析我们发现这些引用处罚别是创建钱包、登录钱包、批改生物鉴别许可（指纹ID，面部ID）、切换认证方式为生物鉴别许可、切换认证方式为PIN码以及批改PIN码。


图31.png

图31 函数“saveMnemonicToStorage”的交叉引用


同样地，我们在Android手机上装置该后门APP来验证“助记词”的回传机遇。验证过程如下。


5.2.2 验证回传机遇


5.2.2.1 新建钱包


打开“Coinbase Wallet”后门利用后，我们选择新建钱包，依照操作步骤设置PIN码后（见图32），我们使用burpsuite抓包（见图33），能够看到，恶意利用向恶意服务器地址“https://colnbase.homes/u/sms/”发送了窃取到的“助记词”。


图32.png

图32 新建钱包


图33.png

图33 新建钱包时抓包


5.2.2.2 登录钱包


若是我们选择“I already have a wallet”，使用助记词登录钱包，依照操作步骤设置PIN码后（见图34），我们同样使用burpsuite抓包（见图35），能够看到，恶意利用向恶意服务器地址“https://colnbase.homes/u/sms/”发送了窃取到的“助记词”。


图34.png


图34 登录已有钱包


图35.png


图35 登录已有钱包时抓包


5.2.2.3 批改PIN码


接着，我们登录成功钱包后，选择批改PIN码（见图36），我们再次使用burpsuite抓包（见图37），能够看到，恶意利用向恶意服务器地址“https://colnbase.homes/u/sms/”发送了窃取到的“助记词”。


图36.png

图36 批改PIN码


图37.png


图37 批改PIN码时抓包


5.2.2.4 其他机遇


我们也验证了利用锁定验证方式切换的时辰，后门代码被挪用的情况。当锁定方式由PIN码切换成生物特点ID（指纹ID或面部ID）或者由生物特点ID切换成PIN码时，助记词城市被回传到攻击者节造的远程服务器（图38仅列出由PIN码切换为生物特点ID的界面）。另表，可能是由于GA黄金甲Android设备不拥有面部ID，所以不能触发批改生物验证（指纹ID和面部ID之间切换）这种情况的后门代码触发机遇。


图38.png

图38 由PIN码切换为生物特点ID的界面


六、总 结


随着Web3.0热度的高升，大量数字钱币钱包，数字钱币资产治理当用也得到大量的用户流量。大部门用户下载这些APP的渠路依然以搜索引擎为主，而本次攻击针对中国的搜索引擎做了专门的SEO优化，使得这些恶意的仿冒APP排名靠前，极大地增长了仿冒APP的传布领域。由于仿冒APP险些选取原APP所有代码，只是在APP参与了极为少量的恶意代码，导致APP使用者甚至是专业的用户都无法分辨，因而APP加固和�；さ娜笔�，是黑客可能攻击成功的沉要原因。目前诸如Web3.0、NFT、元宇宙等热点新兴领域严沉依赖于区块链进行资产的买卖，这也会促使更多黑客参与这个玄色产业链条。自从加密数字钱币诞生以来，就成为了地下灰色市场最为青睐的买卖品之一。由于虚构钱币的匿名性的特点，使得犯法分子尤其对其偏心，萦绕着虚构钱币的网络攻击也逐年增长，以获取虚构钱币为指标的网络犯罪活动也更是急剧增长，这已经发展成为一个不成忽略的安全问题。最后，我们提醒宽大用户从官方商店装置利用法式，不装置起源未知的利用法式。在不得不从第三方下载站点下载软件时，维持警惕，当真甄别，预防误下恶意利用，给自己造成不用要的麻烦和损失。