Pegasus Spyware: is uw crypto veilig?

08/03/2021 | Artikelen

• 

Het volgende artikel vat de technische blog samen die onlangs is gepubliceerd door de Grootboek donjon team. U kunt klikken hier lezen het.

Softwareprogramma's die zijn ontworpen om onze persoonlijke apparaten te hacken, worden steeds geavanceerder. De Pegasus spyware schandaal benadrukt de bedreiging die deze software vormt voor onze technologie en informatie. 

Spyware heeft ook de aandacht getrokken van de crypto-industrie, aangezien een toenemend aantal gebruikers en investeerders afhankelijk is van softwareportefeuilles die op onveilige computers en smartphones draaien. Web3 digitale activa, zoals Bitcoin of Ethereum, mogen niet worden opgeslagen op Web2-apparaten (laptops en smartphones). In dit artikel wordt uitgelegd waarom.

"Zero-days" & "zero-clicks" spyware verspreidt zich

In 2020 onthulden onderzoeksjournalisten dat tienduizenden burgers, activisten en politieke leiders het doelwit waren van klanten van de spywaremaker NSO Group. Onlangs werd de spyware een waar diplomatiek schandaal met de onthulling dat 14 staatshoofden en regeringsleiders voormalige doelwitten waren, waaronder president Macron van Frankrijk en koning Mohammed V van Marokko. De spyware gaf volledige toegang tot hun smartphones.

Hoe is deze spyware zo'n verraderlijk bewakingsinstrument geworden? Gewoon omdat van een mix van "zero-day" en "zero-click" -functies. Maar wat houdt dat precies in? 

Een "zero-day"-aanval vindt plaats wanneer hackers misbruik maken van een kwetsbaarheid in een app of apparaat dat onbekend is bij de leverancier van de doelsoftware. In het geval van Pegasus-spyware zijn de toegangspunten berichten-apps (iMessage, WhatsApp, SMS...). 

Aan de andere kant maakt een 'zero-click'-aanval misbruik van kwetsbaarheden zonder dat een doelwit ergens hoeft te klikken. Deze kwetsbaarheden gaven de aanvaller bijna volledige toegang tot gerichte apparaten en hun gegevens: camera, microfoon, geolocatie, afbeeldingen, gesprekken, enz. 

Een "zero-day zero-click attack" is een combinatie van de twee hierboven. Bezorgd, al?

Deze aanvallen schaden ook uw digitale activa 

Helaas, "zero-day"En"Nul-klik”-aanvallen zijn niet beperkt tot Pegasus-spyware. Als u dacht dat uw softwareportefeuilles inherent veilig waren, denk dan nog eens goed na. De volgende video's laten zien hoe gemakkelijk ons ​​Ledger Donjon-team in staat was om smartphones te hacken en toegang te krijgen tot de seed-frases van MetaMask, Coinbase en Blockchain.com software portefeuilles.

De volgende video simuleert een malware die het door het slachtoffer ingevoerde gebruikerswachtwoord steelt. Het wordt vervolgens gebruikt om de Electrum-portemonneegegevens te decoderen en om het zaad weer te geven.

De volgende video belicht malware die is vermomd als een nep-Bitcoin-ticker-widget. Malware maakt misbruik van een apparaatkwetsbaarheid om het versleutelde zaad naar een externe server te exfiltreren. De server forceert vervolgens het wachtwoord om het zaad te decoderen: 

De volgende video toont een gelijkwaardig proces met een Coinbase Wallet:

Deze laatste video demonstreert spyware die zich richt op een Blockchain.com-portemonnee. Nadat de gebruiker is geverifieerd met behulp van de vingerafdruk van het slachtoffer, wordt de coderingssleutel ontgrendeld en worden de portemonneegegevens gedecodeerd: 

Over het algemeen is het proces eigenlijk vrij eenvoudig. De hacker stuurt u een bericht zonder dat u hiervan op de hoogte wordt gesteld. Het bericht maakt gebruik van een kwetsbaarheid waardoor de aanvallers uw app kunnen bespioneren en uw seed-frase via internet kunnen exfiltreren. De hacker stuurt het zaad vervolgens terug naar zijn eigen computer. Er is geen klik nodig en het is op zijn zachtst gezegd een kwaadaardige exploit. 

Wat betreft je cryptovaluta? Weg.

De les is duidelijk: zet uw Web3-digitale middelen niet op Web2-apparaten zoals laptops en smartphones! Ze zijn niet beveiligd door hun ontwerp, wat betekent dat ze draaien op softwareprogramma's (iOS of Android) waarmee je je spullen niet in een veilige enclave kunt achterlaten. 

Waarom moet veiligheid in crypto op hardware gebaseerd zijn?

Het crypto-universum zit vol schatten, maar je avontuur moet ALTIJD veilig zijn. Dit is waarom onze hardware wallets, Ledger Nano S en Nano X, de veiligste opslagoplossingen zijn voor uw digitale activa:

• Ten eerste beschermen ze je door hun ontwerp tegen malware. Onze hardware wallets zijn onafhankelijke apparaten die zelfstandig transacties ondertekenen. De cryptografische materialen van privésleutels blijven altijd in het apparaat. Ze worden nooit naar de applicatie gestuurd waarmee ze communiceren. Daarom worden uw sleutels offline bewaard waar malware er geen toegang toe heeft. 

• Ten tweede bevatten onze apparaten een scherm waarmee u uw acties kunt verifiëren wanneer u uw geheime sleutels gebruikt. Wanneer u transacties uitvoert op een mobiele telefoon of desktopcomputer, kan malware toegang krijgen tot uw informatie of zelfs uw adressen verwisselen/wijzigen. Onze authenticaties op het apparaat zijn zeer efficiënte tegenmaatregelen.

Offline sleutels en authenticatie op het apparaat zijn essentiële hulpmiddelen voor het volledig beveiligen van digitale activa op hardwareapparaten. 

Conclusie:

Naarmate cryptocurrencies vaker voorkomen, zullen aanvallen op portemonnees helaas steeds geavanceerder worden. Bij Ledger streven we ernaar om u de meest veilige ervaring te bieden bij het beheren van uw digitale activa.

Bron: https://www.ledger.com/blog/pegasus-spyware-is-your-crypto-safe