慢雾:揭露浏览器恶意书签如何盗取你的 Discord Token_GIL:SCOR币

背景

区块链的世界遵循黑暗森林法则,在这个世界我们随时可能遭受到来自不明的外部攻击,作为普通用户不进行作恶,但是了解黑客的作恶的方式是十分必要的。

慢雾安全团队此前发布了区块链黑暗森林自救手册

,其中提到了不少关于针对NFT项目方的Discord进行攻击的手法,为了帮助读者对相关钓鱼方式有更清晰的认知,本文将揭露其中一种钓鱼方法,即通过恶意的书签来盗取项目方Discord账号的Token,用来发布虚假信息等诱导用户访问钓鱼网站,从而盗取用户的数字资产。

钓鱼事件

先来回顾一起Discord钓鱼事件:2022年3月14日,一则推特称NFT项目WizardPass的Discord社区被者入侵,目前已造成BAYC、Doodles、CloneX等NFT被盗,详情如下:

牵出其中一个解读:

Arbitrum生态链游MetaLine指控iZUMi Finance挪用挖矿奖励并抛售其Token:6月13日消息,Arbitrum 生态链游 MetaLine 发文指控多链 DeFi 协议 iZUMi Finance 挪用挖矿奖励并抛售其 Token。文中称,MetaLine 5 月下旬同意与 iZUMi Finance 正式合作并参与其双倍奖励挖矿活动。作为本次活动的一部分,MetaLine 承诺创建一个价值 6 万美元的 MTG 流动性资金池,并提供价值 2 万美元的 MTG 作为挖矿奖励。同时,iZUMi Finance 将提供价值 5000 美元的 IZI 作为挖矿奖励。

MetaLine 随后向 iZUMi Finance 提供的地址发送价值 2 万美元的 MTG,并启动挖矿奖励活动。但 MetaLine 通过链上跟踪和监控 iZUMi Finance 地址(0x00097ed1dAcdbAB9141835852f8de20D690B6f94)发现,iZUMi Finance 挪用价值 1 万美元的 MTG,仅将 MetaLine 发送的一半 MTG 纳入流动性挖矿奖励池。除此之外,iZUMi Finance 还抛售一部分未被纳入流动性挖矿奖励池的 MTG(价值超过 2640 美元),并将这部分资金纳入到挖矿奖励池,继续进行挖矿。MetaLine 表示试图向 iZUMi 寻求澄清,但尚未收到回复。[2023/6/13 21:33:58]

KuCoin将于4月26日上线iZUMi Finance代币IZI:4月25日消息,KuCoin 宣布即将上线一站式流动性即服务 DeFi 协议 iZUMi Finance 代币 IZI,交易开放时间为 4 月 26 日 18:00,充值现已开放。[2023/4/25 14:26:08]

该解读里说的bookmark就是浏览器书签,这个书签里的内容可以是一段JavaScript恶意代码,当Discord用户点击时,恶意JavaScript代码就会在用户所在的Discord域内执行,盗取DiscordToken,攻击者获得项目方的DiscordToken后就可以直接自动化接管项目方的Discord账户相关权限。

背景知识

要理解该事件需要读者有一定的背景知识,现在的浏览器都有自带的书签管理器,在提供便利的同时却也容易被攻击者利用。通过精心构造恶意的钓鱼页面可以让你收藏的书签中插入一段JavaScript代码,当受害者点击书签时会以当前浏览器标签页的域进行执行。

DeFi协议iZUMi Finance宣布给予BAB持有者空投权益:据官方消息,BNB Chain一站式流动性服务DeFi协议iZUMi Finance宣布给予BAB代币持有者空投权益。该空投活动将持续一周,符合条件的BAB代币持有者可以获得一系列空投及抽奖活动资格。

BAB是币安为已通过KYC认证的用户发行的灵魂绑定代币。近日,BNB Chain生态上14个项目已宣布为BAB提供相关用例或奖励。[2022/9/12 13:23:27]

以上图为例,受害者打开了discord.com官网,并在这个页面点击了之前收藏的恶意的书签“Hello,World!”从而执行了一个弹窗语句,可以发现执行的源显示的是discord.com。

这里有一个域的概念,浏览器是有同源策略等防护策略的,按理不属于discord.com做出的操作不应该在discord.com域的页面有响应,但书签却绕过了这个限制。

可以预见书签这么个小功能隐含的安全问题,正常添加书签的方式会明显看到书签网址:

iZUMi Finance:iZiSwap现已上线BNB Chain:5月7日消息,iZUMi Finance发推称,iZiSwap现已上线BNB Chain。据称,iZiSwap是一个通过去中心化的方式实现限价订单,目标最大化资本效率的DEX。[2022/5/7 2:56:56]

稍微有安全意识的读者应该会直接看到网址信息明显存在问题。

当然如果是一个构造好诱导你拖拽收藏到书签栏到页面呢?可以看到twitter链接中的演示视频就是构造了这么个诱导页面:”Dragthistoyourbookmarked”。

也就是拖着某个链接即可添加到书签栏,只要钓鱼剧本写得足够真实,就很容易让安全意识不足的用户中招。

声音 | 慢雾:ETC 51%双花攻击所得的所有ETC已归还完毕:据慢雾区消息,ETC 51%攻击后续:继Gate.io宣称攻击者归还了价值10万美金的ETC后,另一家被成功攻击的交易所Yobit近日也宣称收到了攻击者归还的122735 枚 ETC。根据慢雾威胁情报系统的深度关联分析发现:攻击者于UTC时间2019年1月10日11点多完成了攻击所获的所有ETC的归还工作,至此,持续近一周的 ETC 51% 阴云已散。[2019/1/16]

要实现拖拽即可添加到书签栏只需要构造一个a标签,下面是示例代码:

书签在点击时可以像在开发者工具控制台中的代码一样执行,并且会绕过CSP(ContentSecurityPolicy)策略。

读者可能会有疑问,类似“javascript:()”这样的链接,在添加进入到浏览器书签栏,浏览器竟然会没有任何的提醒?

笔者这里以谷歌和火狐两款浏览器来进行对比。

使用谷歌浏览器,拖拽添加正常的URL链接不会有任何的编辑提醒。

使用谷歌浏览器,拖拽添加恶意链接同样不会有任何的编辑提醒。

使用火狐浏览器如果添加正常链接不会有提醒。

使用火狐浏览器,如果添加恶意链接则会出现一个窗口提醒编辑确认保存。

由此可见在书签添加这方面火狐浏览器的处理安全性更高。

场景演示

演示采用的谷歌浏览器,在用户登录Web端Discord的前提下,假设受害者在钓鱼页面的指引下添加了恶意书签,在Discord?Web端登录时,点击了该书签,触发恶意代码,受害者的Token等个人信息便会通过攻击者设置好的Discordwebhook发送到攻击者的频道上。

下面是演示受害者点击了钓鱼的书签:

下面是演示攻击者编写的JavaScript代码获取Token等个人信息后,通过DiscordServer的webhook接收到。

笔者补充几点可能会产生疑问的攻击细节:

1.为什么受害者点了一下就获取了?

通过背景知识我们知道,书签可以插入一段JavaScript脚本,有了这个几乎可以做任何事情,包括通过Discord封装好的webpackChunkdiscord_app前端包进行信息获取,但是为了防止作恶的发生,详细的攻击代码笔者不会给出。

2.?为什么攻击者会选择Discordwebhook进行接收?

因为Discordwebhook的格式为

“https://discord.com/api/webhooks/xxxxxx”,直接是Discord的主域名,绕过了同源策略等问题,读者可以自行新建一个Discordwebhook进行测试。

3.拿到了Token又能怎么样?

拿到了Token等同于登录了Discord账号,可以做登录Discord的任何同等操作,比如建立一个Discordwebhook机器人,在频道里发布公告等虚假消息进行钓鱼。

总结

攻击时刻在发生,针对已经遭受到恶意攻击的用户,建议立刻采取如下行动进行补救:

1.立刻重置Discord账号密码。

2.重置密码后重新登录该Discord账号来刷新Token,才能让攻击者拿到的Token失效。

3.删除并更换原有的webhook链接,因为原有的webhook已经泄露。

4.提高安全意识,检查并删除已添加的恶意书签。

作为用户,重要的是要注意任何添加操作和代码都可能是恶意的,Web上会有很多的扩展看起来非常友好和灵活。书签不能阻止网络请求,在用户手动触发执行的那一刻,还是需要保持一颗怀疑的心。

本文到这边就结束了,慢雾安全团队将会揭露更多关于黑暗森林的攻击事件,希望能够帮助到更多加密世界的人。

By:耀@慢雾安全团队

郑重声明: 本文版权归原作者所有, 转载文章仅为传播更多信息之目的, 如作者信息标记有误, 请第一时间联系我们修改或删除, 多谢。

金宝趣谈

[0:0ms0-7:313ms