窃取加密货币交易Cookie的Mac恶意软件——CookieMiner

2019-02-28 14:33:598066人阅读

Unit 42研究人员发现一款基于OSX.DarthMiner开发的恶意软件，该恶意软件的目标为Mac平台。因为恶意软件攻击与交易相关的cookie的这种方式，研究人员将恶意软件命名为CookieMiner。

· 该恶意软件可以窃取受害者访问的与主流加密货币交易和加密货币钱包服务网站相关的浏览cookie。

· 该恶意软件还可以窃取Chrome中保存的密码。

· 该恶意软件还可以从iTunes备份中窃取iPhone中的文本信息。

· 通过窃取的登陆凭证、web cookie、SMS数据和过去的攻击，研究人员认为攻击者可以绕过这些网站的多因子认证。如果成功的话，攻击者就可以获取受害者的交易账户和钱包的完全访问权限，并且可以像账户所有者一样使用账户中的资金。

· 恶意软件还可以对系统进行配置来加载加密货币挖矿恶意软件。该恶意软件看似是一个XMRig类型的加密货币挖矿机，目的是进行门罗币Monero挖矿。但实际上恶意软件加载的是一个一个挖Koto币种的加密货币挖矿机。

背景

Web cookies被广泛用于认证。当用户登陆网站，cookie保存在web服务器上来了解登陆状体。如果cookie被窃，攻击者就可能以受害者的账户来登陆网站。窃取cookie是绕过登陆异常检测的重要步骤。如果只有用户名和密码被窃，然后攻击者用来登陆网站，网站就可能会发布一个告警消息或要求进行额外的认证。但如果认证cookie和用户名、密码一起出现，网站可能会更加相信该session与之前认证的系统主机是相关的，而且并不会发布类似告警消息或额外的认证方式。

加密货币交易所是交易加密货币的场所，比如交易为其他加密货币或法定货币。大多数主流的加密货币交易和在线钱包服务都使用多因子认证。CookieMiner可以通过窃取登陆凭证、文本消息、web cookie来浏览过去的认证过程。如果攻击者成功将受害者的身份输入网站，就可以执行退款。这是一种比进行加密货币挖矿挣钱更快的方式。而且，攻击者可以通过大量买进/卖出被窃的数字资产来操作加密货币价格来产生额外的盈利。

技术细节

CookieMiner恶意软件执行的动作包括：

· 窃取Google Chrome和Apple Safari浏览器cookie

· 窃取Chrome中保存的用户名和密码

· 窃取Chrome中保存的信用卡凭证

· 如果mac中备份了iPhone的文本信息，也可以窃取备份的iPhone短信

· 窃取加密货币钱包数据和key

· 使用EmPyre 后门来完全控制受害者

· 在受害者机器上进行加密货币挖矿

窃取cookie

CookieMiner攻击源于攻击MacOS的一个shell脚本。如图1所示，复制Safari浏览器的cookie到一个文件夹中，并上传到远程服务器(46.226.108[.]171:8000)。该服务有服务curldrop(https://github[.]com/kennell/curldrop)，该服务允许用户用curl来上传文件。攻击的目标是与加密货币交易所相关的cookie，包括Binance, Coinbase, Poloniex, Bittrex, Bitstamp, MyEtherWallet以及域名中含有blockchain的网站，比如www.blockchain[.]com。