Бесконечные новшества блокчейн-вредоносов

В криптосообществе активно обсуждают EtherHiding — новый изощрённый метод атаки, при котором злоумышленники прячут вредоносный код внутри смарт-контрактов для распространения малвари через блокчейн. Тейлор Монахан из MetaMask делится своим мнением о том, почему каждая новая волна так называемой «блокчейн-малвари» попадает в заголовки новостей и почему защитникам стоит сосредоточиться на базовых принципах, прежде чем увлекаться сенсациями.

Бесконечный цикл

Каждый раз, когда выходит очередной отчёт об онchain-малваре, исследователи безопасности снова провозглашают: «Первая децентрализованная, неизменяемая, неостановимая угроза наконец появилась!» LinkedIn оживляется. Блоги заполняются публикациями. Заголовки, пропитанные страхом, оптимизируются. Активно продвигаются решения для обнаружения угроз и реагирования на основе ИИ.

Хор голосов вторит: «Я же говорил! Блокчейн — идеальный инструмент доставки для мошенников!» Затем, как всегда, кампания сходит на нет. Аналитики переключаются на следующий громкий эксплойт и, готовясь к отчёту следующего года, забывают, что «первая децентрализованная, неизменяемая, неостановимая угроза» вообще когда-либо появлялась.

Заголовки о блокчейн-малваре не совсем ошибочны. Это действительно малварь. Она действительно использует блокчейн. Но на этом, в общем-то, всё. Кампании ничем не примечательны, кроме одного хитрого трюка, — именно поэтому о них так быстро забывают.

Всё могло бы быть иначе, если бы они были одновременно новаторскими и значимыми — чем-то революционным или разрушительным. Но, по правде говоря, исследователи безопасности просто обожают новизну. Это наш наркотик. Всё, что хоть немного выходит за рамки привычного, — будь то ботнеты, извлекающие менее 80 байт из OP_RETURN, или малварь, обновляющая конфиги через смарт-контракт, — приводит нас в восторг. Мы не можем удержаться и начинаем фантазировать о мире, полном децентрализованной, неостановимой малвари.

Справедливости ради, часть злоумышленников разделяет ту же страсть. Киберпреступные авторы, которые выстраивают нарратив вокруг своих эксплойтов, создают эффектные послания, чтобы привлечь внимание СМИ, и подписывают свою малварь, чтобы все знали: это их работа. Их кампании броские, зрелищные и предсказуемо недолговечные. Нередко они так заняты борьбой за внимание, что не замечают, что заработали $13 за день (или что ФБР вчера захватило их групповой чат).

Да, из таких операций можно извлечь уроки. Но «как стать неостановимым неизменяемым злоумышленником» — точно не один из них.

Злоумышленники, причиняющие реальный ущерб, прагматичны. ROI — их путеводная звезда. Скрытность, масштаб и устойчивость — вот как они его достигают. И они постоянно меняют тактику в ответ на препятствия.

• Никто не читает письма → переходим в Telegram

• GitHub удаляет репозитории → переходим в приватные репозитории

• Приватные репозитории вызывают подозрения → переходим на Bitbucket или GitLab

• MetaMask блокирует вредоносные фронтенды сразу после их появления → используем Google Docs или репозитории GitHub вместо лендинговых страниц

Поэтому, когда я вижу очередного злоумышленника, использующего блокчейн, я всегда спрашиваю: какую проблему блокчейн решает для него? Как это меняет ситуацию — превращает ли неудачные кампании в успешные?

Малварь встречает блокчейн

Малварь — это вредоносное программное обеспечение. Это код. Он не падает с неба и не появляется сам по себе. Код должен попасть на устройство жертвы и запуститься, чтобы выполнить свои функции.

С обычным программным обеспечением всё просто: вы заходите на сайт или в магазин приложений, скачиваете приложение, оно устанавливается и запускается на вашем устройстве. В процессе установки распаковывается само программное обеспечение, после чего выполняется содержащийся в нём код. Оно может перемещать файлы в нужные места, настраивать конфигурации под ваши личные параметры, обращаться к серверу для проверки обновлений или настраивать автозапуск при включении компьютера.

Малварь делает всё то же самое. Только ей приходится действовать скрытно. Вредоносное программное обеспечение не может причинить вред, если конечный пользователь или кто-либо другой обнаружит его вредоносную природу.

И люди всегда стараются защитить конечных пользователей от малвари. Google Chrome отображает красный экран предупреждения для вредоносных URL и загрузок. Операционная система блокирует установку вредоносного кода, особенно без ведома пользователя. Социальные сети, веб-хостинги, регистраторы доменов и репозитории кода — все принимают меры для обнаружения и предотвращения использования их платформ операторами малвари в злонамеренных целях.

В результате способы доставки малвари конечным пользователям существенно эволюционировали. Создатели и операторы малвари прилагают огромные усилия, чтобы разбить вредоносные полезные нагрузки на несколько этапов, обфусцировать URL и предусмотреть резервные варианты на случай, если что-то будет заблокировано.

Подождите, а где же блокчейн?

На протяжении многих лет разные злоумышленники использовали блокчейн по-разному.

Роль, которую играет блокчейн, как правило, одна и та же, даже если конкретный механизм и технические детали различаются:

• Вредоносный код должен взаимодействовать с различными ресурсами, чтобы получить или сохранить контроль над устройством жертвы.

• Эти ресурсы часто меняются (например, когда сервер отключают).

• Если фрагмент вредоносного кода не может измениться (например, малварь уже находится на устройстве жертвы или код развёрнут на тысячах скомпрометированных сайтов WordPress), он «умирает», когда ресурс, на который он опирается, отключается.

Вот тут-то и появляется блокчейн — и теперь ничто не может быть заблокировано, всё магически невидимо и анонимно, и децентрализованная, неизменяемая, неостановимая угроза наконец пришла!

Не торопитесь

Для того чтобы малварь попала на устройство жертвы, требуется несколько этапов, несколько ресурсов и определённый уровень взаимодействия между ними. Одни этапы существуют исключительно для уклонения от обнаружения, другие — для поддержания контроля с течением времени.

Это важно понимать, потому что малварь никогда не «работает в блокчейне». Блокчейн даже не заменяет всю цепочку заражения.

Вот, например, упрощённая схема «до и после» цепочки заражения Glupteba примерно в 2019 году:

А вот схема «до и после» начальной эволюции Etherhiding от UNC5142:

Если смотреть на это именно так, становится очевиднее, что элементы блокчейна встраиваются в иначе стандартную цепочку заражения. Это эволюция существующей операции. Порой она даже является прямым ответом на нарушение работы кампании.

Это различие важно для защитников, которым необходимо отделять новизну от реального риска. Основные меры контроля, останавливающие эти кампании, в конечном счёте остаются прежними. Злоумышленники всегда будут обходить такие помехи, как отключение C2, если знают, что кампания в целом по-прежнему успешно достигает своих целей. Люди и организации должны работать над снижением числа первичных компрометаций, обнаруживать угрозы на основе поведения, а не статических индикаторов, и обеспечивать наличие средств контроля для изоляции конечных точек после компрометации. Существование блокчейна ничего из этого не меняет.

Преимущества блокчейна

С учётом вышесказанного давайте вернёмся к преимуществам блокчейна, которые исследователи выделяли в нашей таблице на протяжении многих лет.

Устойчивость

• «Захардкоженные URL легко заблокировать, что делает установку малвари неработоспособной». Источник: Cerber Ransomware

• «Гарантирует, что заражённые машины остаются заражёнными, даже если исходные C2 отключены». Источник: Glupteba

• «Повышает устойчивость перед лицом обнаружения и попыток блокировки. Операции по изъятию и блокировке также затруднены ввиду неизменяемости блокчейна». Источник: EtherHiding от UNC5142

• «Нет центрального сервера для отключения». Источник: EtherHiding от UNC5342

• «Традиционные C2-серверы могут быть изъяты правоохранительными органами или отключены хостинг-провайдерами, но данные, хранящиеся в блокчейне, реплицируются на тысячах децентрализованных узлов». Источник: Cross-Chain TxDataHiding

• «После развёртывания смарт-контракта его невозможно легко удалить или изменить никому, кроме владельца контракта». Источник: EtherHiding от UNC5342

Проверка реальностью: блокчейн чаще всего используется как указатель и существует между двумя элементами традиционной инфраструктуры.

Авторы малвари годами применяли самые разнообразные механизмы «указателей», которые скрываются на виду — на пуленепробиваемых хостах или на легитимных контентных платформах. Их тоже бывает очень сложно или даже невозможно обнаружить и/или заблокировать.

Вызовы для получения данных из блокчейна по-прежнему осуществляются через традиционные API-эндпоинты, размещённые у традиционных провайдеров инфраструктурных услуг, а иногда даже с использованием традиционных API-ключей. Хотя вы не можете отключить всю систему (поскольку это в конечном счёте бизнес, работающий добросовестно и обслуживающий преимущественно легитимных пользователей), исследователи безопасности могут информировать компании о подобной активности и взаимодействовать с ними для принятия мер.

Это ничем не отличается от любой другой ситуации, когда злоумышленник использует легитимную инфраструктуру для доставки своих пейлоадов. Всегда неприятно осознавать, что определённая организация могла бы принять меры, но не делает этого. Блокчейн-индустрия, в частности, располагает собственной сетью исследователей безопасности, которая не полностью интегрирована с традиционными сетями исследований в области безопасности. Однако это не означает, что её не существует. Если вам когда-либо понадобятся знакомства или нужно поделиться разведывательными данными такого рода, в блокчейн-сообществе есть люди, которым это небезразлично, которые знают всех и всегда готовы помочь. В их числе — вся команда MetaMask Security, а также такие организации, как SEAL. Свяжитесь с нами.

Скрытность

• «Хранение вредоносного кода внутри смарт-контракта затрудняет его обнаружение по сравнению с традиционными инструментами веб-безопасности, которые могут напрямую сканировать содержимое сайта». Источник: EtherHiding от UNC5142

• «BNB Smart Chain — легитимная платформа. Её использование помогает вредоносному трафику сливаться с обычной активностью как способ уклонения от обнаружения». Источник: EtherHiding от UNC5142

• «Злоумышленники могут получить вредоносный пейлоад с помощью вызовов только для чтения, которые не оставляют видимой истории транзакций». Источник: EtherHiding от UNC5342

• «Подключения к блокчейн-API — api.trongrid.io, aptoslabs.com, binance.org и т. д. — выглядят как обычные HTTPS-запросы к легитимным сервисам без явных признаков вредоносности». Источник: Cross-Chain TxDataHiding

• «Традиционный C2 оставляет обширные следы (серверные логи, TLS-сертификаты, записи хостинга и данные геолокации IP), тогда как блокчейн-C2 создаёт лишь псевдонимные адреса и хэши транзакций без серверов и логов». Источник: Cross-Chain TxDataHiding

• «Сетевые механизмы защиты сложнее реализовать для Web3-трафика по сравнению с традиционным веб-трафиком ввиду отсутствия использования традиционных URL». Источник: EtherHiding от UNC5142

Проверка реальностью: взаимодействие с «блокчейном» ничем не отличается от взаимодействия с любым другим облачным провайдером

Блокчейн — это просто огромная публичная база данных всех исторических транзакций с комплексной криптографической верификацией, которая должна происходить примерно каждые ~10 секунд. Он почти всегда работает на традиционной выделенной инфраструктуре со всевозможной балансировкой нагрузки, API и другими оркестровками. То, что каждый провайдер услуг логирует и хранит, целиком зависит от его использования, пользователей, истории, политики конфиденциальности, местоположения, отношений с пользователями и предоставляемых услуг.

Для примера: если блокчейн-сервис требует ежемесячной оплаты, он, как правило, принимает её по кредитной карте — как любая web2-компания. Если он принимает криптоплатежи, его онchain-адреса широко известны, и вы можете видеть, как злоумышленник платит. В отличие от традиционных платежей, любой желающий может наблюдать, как КНДР платит Namecheap за домены и Debank за API-кредиты. Это высококачественная, применимая на практике разведывательная информация, которой раньше не существовало.

На обычном компьютере рядового пользователя случайных обращений к чему-либо, связанному с криптовалютой, не происходит. Если ваша песочница, запускающая загадочный пейлоад, вдруг начинает это делать — стоит немедленно обратить на это внимание. Даже в обычных условиях блокчейн-вызовы далеко не так легитимны, как, скажем, обращения к Microsoft, GitHub, AWS, Google или Cloudflare. А все они регулярно доставляют вредоносные пейлоады.

Конечно, криптокомпании не могут заблокировать весь крипто-трафик в качестве меры профилактики. «К счастью, у криптокомпаний нет никакого мониторинга, так что всё в порядке!» — шучу, конечно. Каждая серьёзная криптокомпания располагает серьёзными системами SIEM и EDR, которые разработаны для успешного обнаружения и сдерживания реальных пейлоадов Lazarus. Пейлоады Contagious Interview или MaaS — даже те, что используют блокчейн, — обнаруживаются ровно так же, как они обнаруживались до того, как начали использовать блокчейн.

Гибкость

• «Хотя сами смарт-контракты неизменяемы, злоумышленники развёртывают контракт первого уровня, содержащий указатель на контракт второго уровня. Контракт первого уровня служит стабильной точкой входа, адрес которой никогда не меняется на скомпрометированном сайте, направляя внедрённый JavaScript на получение кода из контракта второго уровня — это даёт злоумышленникам возможность менять цель, не изменяя скомпрометированный сайт». (EtherHiding от UNC5142)

• «Злоумышленник может в любое время обновить вредоносный пейлоад, чтобы изменить методы атаки, обновить домены или развернуть другие типы малвари». (EtherHiding от UNC5342)

• «Злоумышленник может изменять пейлоады в любое время, публикуя новые транзакции в блокчейне, при этом захардкоженные адреса в малваре никогда не меняются — это означает, что заражённые машины автоматически получают обновлённые пейлоады без изменения кода». (Cross-Chain TxDataHiding)

Проверка реальностью: именно так работает и интернет

Злоумышленники прячут пейлоад в изображении, обновляют изображение — и малварь магически становится другой. URL — это указатели на IP-адреса, которые, в свою очередь, являются указателями на контент, размещённый на серверах. Если нельзя заблокировать сам контент, блокируют маршруты доступа к нему. Если нельзя заблокировать маршруты, те, кто осуществляет маршрутизацию, блокируют их.

Ключевое различие между произвольными данными, хранящимися на сайте, и блокчейном состоит в том, что запись произвольных данных в блокчейн стоит денег и является публичным событием каждый раз, когда это происходит. Комиссии за транзакции могут варьироваться от $1 до $100 и выше в зависимости от условий сети. Одни сети дешевле других, что делает этот фактор менее значимым. Но затраты всё равно есть, и платежи оставляют след.

В конце концов, блокчейн публичен. Провайдеры услуг и биржи располагают базами данных с коррелированной активностью конечных пользователей, IP-адресами, цифровыми отпечатками устройств, а иногда и полными KYC-данными. Даже базовые транзакции требуют определённого взаимодействия с традиционными элементами интернета, которые, очевидно, содержат традиционные интернет-данные. Объём этих данных целиком зависит от того, как злоумышленник взаимодействует с блокчейном. Но блокчейн не является анонимным.

Конечная цель

В теории устойчивая к цензуре, необратимая, децентрализованная система хранения — мечта любого злоумышленника. На практике же эти «блокчейн-малвари» так и не приживаются так, как приживаются другие методы.

CLICKFIX, например, был быстро подхвачен огромным числом различных группировок. Идея о том, что можно убедить конечных пользователей копировать и вставлять команды прямо в командную строку, обходя тем самым первичные средства защиты, стала настоящим прорывом. Тем временем, спустя семь лет, малварь в блокчейне по-прежнему достаточно нова, чтобы всякий раз поднимать волну в мире безопасности, когда кто-то находит новую реализацию.

Отчасти это объясняется тем, что блокчейны не могут (и не способны) заменить всю цепочку заражения или даже большую её часть. Задействованы аккаунты в социальных сетях, веб-хосты, регистраторы доменов и один или несколько C2-серверов, которые используются для доставки различных этапов малвари, указания на следующий этап или резервирования на случай отказа одного из них. Блокчейн добавляет ещё один рабочий процесс и ещё один шаг поверх всех существующих.

Кроме того, блокчейн несёт в себе собственные издержки и риски.

Зачем рисковать, навсегда оставляя следы своей операционной безопасности в публичном реестре для всеобщего обозрения, когда есть пуленепробиваемые хосты, скомпрометированные сайты WordPress и бесплатные контентные платформы, готовые служить одноразовой инфраструктурой? Зачем рисковать тем, что иначе незамеченная активность будет мгновенно обнаружена всеми публичными Wi-Fi, отелями, круизными лайнерами, школами и/или рабочими местами, которые по умолчанию блокируют всё, что хоть отдалённо связано с «блокчейном»?

Отчасти ответ прост: потому что они могут. Это весело, умно, ново и оригинально. Возможно, это сделает их более успешными — или хотя бы создаст ощущение, что они мошенники из будущего. Злоумышленники тоже люди. У них есть цели и мотивы. Они не всегда действуют рационально.

Однако, думаю, настоящий ответ раскрывается в публичных отчётах об этих механизмах. Похоже, это действительно помогает уклоняться от обнаружения. Каким-то образом простое использование блокчейна позволяет им дольше скрывать свои C2. Каким-то образом песочницы приходят в замешательство, когда не могут найти малварь, потому что она скрыта в вызове к блокчейн-API.

По иронии судьбы, это преимущество обусловлено не тем, что её невозможно обнаружить (это возможно). И не тем, что она действительно более анонимна, скрытна или приватна, чем всё остальное, что они делают (это совсем не так). Преимущество почти целиком определяется тем, что исследователи безопасности воспринимают её именно таковой.

Поэтому следует ожидать, что злоумышленники продолжат эксперименты в этом направлении. Исследователи безопасности также должны продолжать отслеживать и публиковать информацию об этих кампаниях. Но пока что «блокчейн-малварь» остаётся относительно занятным примечанием в гораздо более масштабной и мрачной истории.

Основную часть нашего времени и усилий необходимо тратить на действия, которые оказывают реальное влияние на людей и организации, — на то, что предотвращает потери и обеспечивает безопасность людей, даже когда они настаивают на том, чтобы вставлять случайные команды в командную строку только потому, что незнакомец в интернете им так сказал.

Если по какой-либо причине блокчейн-аспекты этих кампаний действительно являются препятствием для компаний в сфере безопасности, стремящихся улучшить обнаружение, деанонимизацию и нейтрализацию этих кампаний, мир Web3-безопасности с радостью поможет. Пожалуйста, свяжитесь с нами по адресу MetaMask Security.