Chasse Nuage Note: Pour les jetons ensemble en raison du vol des défauts majeurs biologiques causés par Ethernet Square, cet article équipe de brouillard processus lent d'une attaque, la ligne de temps d'attaque, affectant la posture et la défense a recommandé quatre de procéder à la description détaillée, faites des pensées de la sécurité écologique . Source: brouillard lent Zone (ID: SlowMist). Il se lit comme suit:
Récemment, l'équipe de sécurité anti-brouillard lente observée avec les attaques automatisées pirates de la monnaie, un attaquant à l'aide d'un des noeuds Ethernet place Geth / parité défaut d'authentification API RPC, eth_sendTransaction des appels malveillants remplacer l'argent volé, la durée maximale de deux ans, seul et volé pas tourné les pièces Ethernet vaut jusqu'à 20 millions $ aux prix courants, il y a 164 sortes de types de jetons, difficile d'estimer la valeur totale des (nombreux jetons ne sont pas encore officiellement publié à la Bourse). suit la figure:
processus d'attaque
équipe lente sécurité anti-brouillard victimes de renseignement intégré, Reddit information et d'analyse honeypot journal, retours en arrière comportement agressif pourrait être:
8545 mondial Port Scan (HTTP JSON RPC API), (API WebSocket JSON RPC) port 8546 et autre noeud Ethernet carré ouvert, envoyer eth_getBlockByNumber, eth_accounts, eth_getBalance déplacement hauteur du bloc, l'adresse de bourse et l'équilibre
Eth_sendTransaction appels répétés constamment pour tenter de transférer le solde au portefeuille de l'attaquant
Quand l'utilisateur vient de frapper le noeud lors de l'exécution UnlockAccount pour leurs portefeuilles, sur une période de durée sans avoir à entrer le mot de passe pour la signature de la transaction, cette fois attaquant d'appel eth_sendTransaction sera exécuté correctement, le solde produit au portefeuille de l'attaquant
remarques:
l'introduction de la fonction UnlockAccount
La fonction va utiliser le mot de passe extraite de la clé privée local dans un fichier de clés et stockées dans la mémoire, la troisième durée de la fonction de paramètre représente la clé privée décryptée stocké dans la mémoire la valeur par défaut est de 300 secondes;. Si la valeur 0, le permanent restent en mémoire jusqu'à la sortie Geth / parité. voir:
https://github.com/ethereum/go-ethereum/wiki/Management-APIs#personal_unlockaccount
attaque Timeline
Nous avons effectué une analyse détaillée de l'adresse de portefeuille de l'attaquant sur Etherscan, obtenir la principale attaque suivante Timeline:
14/02/201615:59:14 Le premier IN (Houston), ce jour est la Saint Valentin
16/02/201618:33:30 La seconde IN, après un délai de deux jours, la spéculation automatisée programme d'attaque pour la première fois en ligne
19/05/201619:46:33 premier sorti (hors compte), puis co-IN 51 coups
20/07/201618:35:57 seconde OUT, dans 57 cas au total des stylos
11.05.201718:34:35 Shapeshift (bien connu Exchange) dans 7 stylo, une période de 71 jours
10/06/201702:39:53 OUT somme finale, cette fois-ci un total d'environ 207 coups IN
21/06/201707:46:49 f2pool (piscine minérale bien connue) EN 36 stylo, couvre quatre heures
Cette chronologie retraçant l'analyse assistée côté-traces du comportement de l'attaquant.
Influer sur la situation
Par le système (MOOZ) de l'équipe de sécurité anti-brouillard unique de Mo lent environ 4,2 milliards de sonde globale de balayage de l'espace IPv4 constaté que l'exposition au public et des noeuds Ethernet ouvert API RPC place a plus de 10000. Ces nuds sont présents directement pirates attaquent la monnaie à haut risque.
défense recommandé
1, modifier le port par défaut API RPC, telles que la configuration: -rpcport 8377 ou 8378 -wsport
2, modifier l'adresse de surveillance API RPC au sein du réseau, telles que la configuration: -rpcaddr 192.168.0.100 ou -wsaddr 192.168.0.100
3, disposés sur les iptables API RPC limitent port d'accès, par exemple: 192.168.0.101 ne permettent que l'accès au port 8545:
ENTRÉE iptables -A -s 192.168.0.101 TCP -p -dport 8545 -j ACCEPT
iptables -A ENTRÉE -p TCP -dport 8545 DROP -j
4, les informations de compte (keystore) Ne pas stocker dans le nud (parce que le compte n'est pas sur le nud, donc nous ne pas utiliser un UnlockAccount)
5, tout transfert de sendTransaction sont utilisés web3 et sendRawTransaction Envoyer signature privée sur la transaction
6, la séparation physique clé privée (comme portefeuille froid, la transcription manuelle) ou le stockage et la protection des clés de cryptage de sécurité élevée
réflexion
Par reproduction intégrale de cet événement enquête de suivi et les méthodes d'attaque, nous sommes de plus en plus conscients de l'obscurité du cyberespace suit la loi de la jungle, la loi de l'auto-référence « trois corps »: « L'univers est une forêt sombre, chaque civilisation est un des chasseurs d'armes à feu , comme des fantômes se faufilent dans la forêt, piquez doucement hors du chemin des branches, en essayant de suivre le rythme emit peu la voix, la respiration doit être prudent, il faut faire attention car la forêt partout avec lui en tant que chasseurs furtifs, S'il a trouvé une autre vie, je ne peux faire qu'une seule chose, le feu détruire ".
Nous avons soigneusement re-régler tous les détails de ce jeu pendant deux ans et est toujours actif dans l'attaque, l'attaquant si nous sommes, nous projetons un script, vous pouvez facilement gagner des dizaines de monde de milliers, voire des millions même de millions d'actifs numériques .
Nous avons besoin d'une mention spéciale à la façon dont l'attaquant, ne sais pas si vous avez pas remarqué, pourquoi attaquer la première étape pour obtenir l'appel est la hauteur du bloc eth_getBlockByNumber? Les détails de l'appel est: eth_getBlockByNumber ( « 0x00 », false), si la hauteur du bloc est pas à ce jour, l'appel sera rapport incorrect, suivi est pas nécessaire d'examiner la mise en uvre du portefeuille, les demandes de solde et d'autres opérations, parce que l'équilibre ne sont pas précis, et la dernière étape de l'opération de transfert est certainement pas complète. Cette conception logique d'attaque pour ce scénario d'attaque est une conception esthétique très violente.
Nous de la mentionnée ci-dessus vue « Timeline Attack », l'attaquant fait très général, cette attaque latente se produit avant la première place Ethernet, une histoire bien connue des attaques de pirates informatiques L'événement DAO (17.06.2016 ), et il a été officiellement reconnu par la période de la technologie Ethernet place du marché. Comme on peut le voir, l'attaquant est très tôt les chercheurs de la technologie Ethernet place et les pirates informatiques vraiment comprendre la technologie d'ingénierie. Dans le processus Attacker réel de l'optimisation continue de ce projet.
Nous avons également l'API RPC fonctions du module liées à une analyse plus poussée a révélé un certain nombre de risques potentiels pour la sécurité, mais aussi besoin d'attention, par exemple: si le RPC API activé le module personnel, vous pouvez sauter le mot de passe par la méthode personal_unlockAccount, si le dynamitage réussi, vous pouvez obtenir un déverrouillage d'un temps + transferts. Si l'API RPC activé mineur module, peut être modifié par adresse de bourse méthode d'exploitation miner_setEtherbase.
Notre sonde dans l'ensemble du réseau du système Mo (Mooz), nous avons constaté que ces exposés au réseau public noeud module API RPC ouvert Ethernet place varient. Cette différence fournit les conditions d'une attaque plus sophistiquée.
Du point de vue de l'analyse de la défense, nous avons également constaté que, Geth et un autre mécanisme d'enregistrement est imparfait, ne peut pas enregistrer la demande API source RPC IP (Configurer debug, -verbosity 5 ne sont pas valides), menant directement à un nud sur une attaque de traçabilité forensics attaque Ethernet place qui IP est une chose très pénible.
Bien que la place Ethernet robuste lui-même a résisté à l'épreuve, mais la sécurité est un tout. A travers cet événement, nous pouvons voir quelques failles de sécurité écologique Ethernet carrés, des failles de sécurité qui pourraient être envisagées est un mécanisme qui oblige l'utilisateur à faire attention, mais pour l'utilisateur de faire le seuil de sécurité est trop élevé. Seuil élevé de sécurité doit être plus susceptibles de se reproduire ces grandes attaques.
Enfin, nous voulons divulguer cet article donnera cet écosystème pour apporter plus de sécurité.
Cet article provient de réseau de nuages de chasse, si la réimpression, s'il vous plaît indiquer la source: http: //www.lieyunwang.com/archives/422009
AD: l'intégration réseau nuage de chasse attaque et AI Intelligence artificielle Planète 2018 Sommet annuel de l'industrie se tiendra à l'Hôtel Grand Hilton à Shenzhen en Chine No. 17 Avril. Voici les plus profondeur de la pensée, le plus de conseils d'investissement précieux, ainsi que le plus cool de démonstration de la technologie noire, à ne pas manquer.
