יצרן מדפסות סיני הפיץ רוגלה לגניבת ביטקוין דרך דרייברים רשמיים

על פי דיווחים בתקשורת המקומית בסין, יצרן המדפסות הסיני Procolored הפיץ נוזקה לגניבת ביטקוין יחד עם דרייברים רשמיים של החברה, במה שנראה כמתקפת שרשרת אספקה משמעותית.

לפי דיווח שפורסם ב-19 במאי על ידי אתר החדשות הסיני Landian News, חברת Procolored מהעיר שנז'ן הפיצה נוזקה המיועדת לגניבת ביטקוין יחד עם דרייברים רשמיים. על פי הדיווח, החברה השתמשה בכונני USB להפצת דרייברים נגועים בנוזקה, והעלתה את התוכנה הפגומה לשירותי אחסון בענן להורדה גלובלית.

נוזקת החלפת כתובות ארנקים

סך הכל נגנבו 9.3 ביטקוין בשווי של למעלה מ-953,000 דולר, כך לפי הדיווח. חברת מעקב וציות קריפטוגרפי בשם Slow Mist פרסמה ב-X (טוויטר לשעבר) הסבר על אופן פעולת הנוזקה: "הדרייבר הרשמי שסופק על ידי המדפסת הזו נושא תוכנת דלת אחורית. התוכנה חוטפת את כתובת הארנק בלוח ההעתקה של המשתמש ומחליפה אותה בכתובת של התוקף".

Landian News המליץ למשתמשים שהורידו דרייברים של Procolored בששת החודשים האחרונים "לבצע מיד סריקת מערכת מלאה באמצעות תוכנת אנטי-וירוס". עם זאת, בהתחשב באופי הלא אמין של תוכנות אנטי-וירוס, איפוס מערכת מלא הוא תמיד האפשרות הטובה יותר במקרה של ספק.

יוטיובר חשף את הנוזקה בדרייברים

הבעיה דווחה לראשונה על ידי יוטיובר בשם קמרון קווארד, שתוכנת האנטי-וירוס שלו זיהתה נוזקה בדרייברים בעת בדיקת מדפסת UV של Procolored. התוכנה סימנה את הכונן כמכיל תולעת ווירוס טרויאני בשם Foxif.

כאשר פנו לחברה, Procolored הכחישה את הטענות וטענה שמדובר בזיהוי שגוי של כלי האנטי-וירוס. קווארד פנה לרדיט, שם שיתף את הבעיה עם אנשי מקצוע בתחום אבטחת הסייבר, ומשך את תשומת לבה של חברת אבטחת הסייבר G-Data.

חברת אבטחת סייבר אישרה את קיום הנוזקה

חקירת G-Data מצאה כי רוב הדרייברים של Procolored אוחסנו בשירות אחסון הקבצים MEGA, עם העלאות שהתבצעו כבר באוקטובר 2023. ניתוח של הקבצים הללו אישר כי הם נפגעו על ידי שתי נוזקות נפרדות: דלת אחורית בשם Win32.Backdoor.XRedRAT.A וגונב קריפטו שנועד להחליף כתובות בלוח ההעתקה עם כתובות הנשלטות על ידי התוקף.

G-Data יצרה קשר עם Procolored, והיצרן טען כי מחק את הדרייברים הנגועים מהאחסון שלו ב-8 במאי וסרק מחדש את כל הקבצים. Procolored ייחסה את הנוזקה לפגיעה בשרשרת האספקה, וטענה שהקבצים הזדוניים הוכנסו דרך התקני USB נגועים לפני שהועלו לאינטרנט.

אירוע זה מדגיש את הצורך בערנות מתמדת בכל הנוגע לאבטחת קריפטו, גם כאשר מורידים תוכנות ממקורות שנראים לגיטימיים. משתמשים שנחשפו לדרייברים אלה מומלץ שיבדקו את ארנקי הקריפטו שלהם ויבצעו סריקות אבטחה מקיפות במחשביהם.