دنیای رمزارزها هر روز بزرگ‌تر و پیچیده‌تر می‌شه، و درست به همون اندازه که این حوزه داره پیشرفت می‌کنه، ترفندهای جدیدی برای سرقت دارایی‌های دیجیتال هم به‌وجود میان. یکی از تازه‌ترین و خطرناک‌ترین روش‌هایی که این روزها خبرساز شده، پنهان شدن بدافزار در افزونه‌های مایکروسافت آفیس هست؛ موضوعی که حتی حرفه‌ای‌ترین کاربران رو هم ممکنه غافلگیر کنه.
به گزارش شرکت امنیتی Kaspersky، هکرها با ساخت افزونه‌های جعلی آفیس در سایت معروف SourceForge تونستن بدافزاری به اسم ClipBanker رو بین فایل‌های ظاهراً بی‌ضرر پنهان کنن. این بدافزار طراحی شده تا آدرس‌های رمزارزی که کاربر در کلیپ‌بورد خودش کپی می‌کنه رو با آدرس‌های کیف‌پول هکر جایگزین کنه و در نتیجه، رمزارز شما بدون اینکه بفهمید، مستقیم به حساب مهاجم منتقل می‌شه!
اگر کنجکاو شدی بدونی این ماجرا دقیقاً چطور اتفاق می‌افته، با من تا انتهای این مقاله از بلاگ کیف پول من همراه باش، چون قراره همه چیز رو مرحله‌به‌مرحله توضیح بدیم.
ماجرا از جایی شروع شد که محققان Kaspersky متوجه شدن تعدادی بسته نرم‌افزاری در سایت SourceForge منتشر شده که عنوان‌هایی مثل Officepackage یا MS Add-ins دارند. در نگاه اول، این فایل‌ها کاملاً طبیعی به‌نظر می‌رسیدن؛ حتی صفحه معرفی‌شون شبیه پروژه‌های واقعی مایکروسافت آفیس بود و دکمه «دانلود» با توضیحات رسمی داشت.
اما در پشت صحنه، این بسته‌ها حاوی کدی مخرب بودن که بعد از نصب، سیستم قربانی رو به ClipBanker آلوده می‌کرد. این بدافزار دقیقاً برای هدف قرار دادن رمزارزها طراحی شده بود و وظیفه اصلیش، تعویض آدرس کیف‌پول‌ها در کلیپ‌بورد بود. یعنی وقتی شما می‌خواید رمزارزی مثل بیت‌کوین یا تتر رو به کیف‌پول دوست‌تون بفرستید و آدرس رو کپی می‌کنید، ClipBanker بی‌سر و صدا آدرس واقعی رو با آدرس خودش عوض می‌کنه. نتیجه؟ تراکنش با موفقیت انجام می‌شه، ولی دارایی شما به ولت مهاجم می‌ره!
چون تقریباً همه ما موقع انتقال رمزارزها، آدرس‌ها رو کپی و پیست می‌کنیم. هیچ‌کس دوست نداره اون رشته طولانی از اعداد و حروف عجیب‌غریب رو دستی تایپ کنه! هکرها دقیقاً از همین نقطه ضعف استفاده کردن.
در گزارشی که در Cointelegraph منتشر شد، گفته شده که این بدافزار حتی می‌تونه اطلاعات دستگاه قربانی مثل IP، کشور، نام کاربری و سیستم‌عامل رو هم جمع‌آوری کنه و از طریق تلگرام برای هکر ارسال کنه.
به‌عبارتی، ClipBanker فقط یه ابزار سرقت رمزارز نیست، بلکه یه جاسوس تمام‌عیار هم هست که می‌تونه مسیر رو برای نفوذهای بعدی هموار کنه.
بعد از انتشار گزارش‌ها، لوگان اَبوت (Logan Abbott)، مدیرعامل SourceForge، اعلام کرد که هیچ فایل مخربی روی سرورهای این پلتفرم میزبانی نشده، بلکه مهاجمان با استفاده از قابلیت «میزبانی رایگان وب» تونستن صفحه‌های جعلی بسازن و از اونجا به فایل‌های خارجی لینک بدن.
با این حال، SourceForge تصمیم گرفت سیاست‌های امنیتی خودش رو تغییر بده تا جلوی سوءاستفاده‌های مشابه گرفته بشه.
الان دیگه پروژه‌هایی که از سرویس میزبانی رایگان استفاده می‌کنن، اجازه ندارن به فایل‌های میزبان خارجی لینک بدن. همچنین همه فایل‌های آپلودشده روی سرورهای رسمی SourceForge قبل از انتشار اسکن می‌شن تا مطمئن بشن هیچ بدافزاری داخلشون نیست.
بدافزار ClipBanker اولین‌بار در سال ۲۰۱۷ شناسایی شد، اما نسخه‌های جدیدش حالا بسیار هوشمندتر و خطرناک‌تر شدن. این برنامه به‌محض فعال شدن، حافظه موقت (clipboard) سیستم رو به‌صورت مداوم اسکن می‌کنه تا اگه کاربر رشته‌ای شبیه به آدرس رمزارز (مثلاً آدرس بیت‌کوین، اتریوم، لایت‌کوین و...) کپی کرد، اون رو با آدرس از پیش تعیین‌شده‌ی مهاجم جایگزین کنه.
اما نکته جالب اینجاست که این بدافزار فقط به تغییر آدرس بسنده نمی‌کنه. بعضی از نسخه‌های ClipBanker همچنین شامل یک ماینر رمزارزی هستن که از CPU یا GPU سیستم آلوده برای استخراج رمزارز به نفع هکر استفاده می‌کنن. در نتیجه، کاربر علاوه‌بر از دست دادن دارایی، متوجه افت عملکرد سیستم و افزایش مصرف برق هم می‌شه!
شاید بپرسید چطور می‌شه فهمید که یه فایل یا افزونه جعلیه؟ کارشناسان Kaspersky چند نشانه مشخص رو معرفی کردن که می‌تونه زنگ خطر باشه:
حجم غیرعادی فایل‌ها: فایل‌های آفیس معمولاً حجم بالایی دارن؛ اما بسته‌های جعلی حجم خیلی کمی دارن.
اطلاعات ناقص یا بی‌معنی در صفحه پروژه: صفحه دانلود ممکنه توضیحاتی مبهم یا حتی تکراری داشته باشه.
فایل‌های پر شده با داده‌های بی‌ارزش: برای فریب سیستم و کاربر، هکرها گاهی فایل‌هایی اضافه می‌کنن که محتوای واقعی ندارن.
نبود نظرات یا بازخوردهای معتبر: اگر پروژه‌ای در SourceForge هیچ بازخوردی نداره یا فقط کامنت‌های عجیب داره، باید بهش شک کنید.
طبق بررسی‌ها، حدود ۹۰ درصد از قربانیان این حمله در روسیه شناسایی شدن، اما دلیلش احتمالاً هدف‌گذاری زبانی بدافزار بوده (رابط کاربریش روسی‌زبان هست).
با این حال، هیچ بعید نیست که نسخه‌های جدیدی از همین حمله کاربران سایر کشورها رو هم هدف قرار بدن. بر اساس گزارش BitDegree، بین ژانویه تا مارس، حدود ۴۶۰۰ کاربر این افزونه‌های آلوده رو نصب کرده‌ان و متوجه نبودن که سیستم‌شون به چه سرعتی به دام افتاده.
بدافزارهای جعلی فقط مخصوص سیستم‌های دسکتاپ نیستن. تیم امنیتی Threat Fabric در گزارشی که در ۲۸ مارس منتشر کرد، اعلام کرد که خانواده‌ای جدید از بدافزارها در قالب اپ‌های فیک اندرویدی کشف شده که از کاربر می‌خوان عبارت بازیابی کیف پول (Seed Phrase) خودش رو وارد کنه.
در واقع، این بدافزارها خودشون رو به‌عنوان ولت‌های محبوبی مثل MetaMask یا Trust Wallet جا می‌زنن و وقتی کاربر عبارت ۱۲ یا ۲۴ کلمه‌ای خودش رو وارد می‌کنه، همه اطلاعات مستقیم به سرور هکر ارسال می‌شه.
این نوع حملات سایبری ثابت می‌کنه که مهاجمان به‌صورت هوشمندانه از هر بستری برای فریب کاربران استفاده می‌کنن — چه دسکتاپ، چه موبایل.
برای اینکه قربانی حملات این‌چنینی نشیم، باید چند قانون طلایی رو همیشه رعایت کنیم:
فقط از منابع رسمی دانلود کنید.
هیچ‌وقت فایل‌های نرم‌افزاری رو از سایت‌های نامطمئن یا لینک‌های مشکوک دانلود نکنید. مثلاً اگر به افزونه‌ای برای آفیس نیاز دارید، فقط از وب‌سایت رسمی مایکروسافت استفاده کنید.
آدرس کیف پول رو دوباره چک کنید.
بعد از کپی‌کردن آدرس ولت، قبل از زدن دکمه «ارسال»، کاراکترهای ابتدایی و انتهایی رو دوباره با دقت بررسی کنید.
از آنتی‌ویروس و فایروال فعال استفاده کنید.
آنتی‌ویروس‌های معروف مثل Kaspersky، Bitdefender و Norton می‌تونن بدافزارهای ClipBanker رو شناسایی و حذف کنن.
عبارت بازیابی رو هرگز دیجیتال نگه ندارید.
اونو روی کاغذ بنویسید و در جای امن نگه دارید. ارسالش در چت یا ایمیل اشتباه مرگباریه!
از کیف‌پول‌های سخت‌افزاری استفاده کنید.
برای نگهداری مبالغ بالا، بهتره از دستگاه‌هایی مثل Ledger یا Trezor کمک بگیرید که به اینترنت متصل نیستن.
سیستم و نرم‌افزارها رو همیشه آپدیت کنید.
آپدیت‌ها معمولاً شامل وصله‌های امنیتی مهمی هستن که جلوی سوءاستفاده از آسیب‌پذیری‌ها رو می‌گیرن.
مطلب پیشنهادی: حمله سیبل (Sybil Attack) چیست؟
حمله ClipBanker و افزونه‌های جعلی آفیس فقط یه نمونه از صدها ترفندیه که هکرها برای سرقت رمزارزها استفاده می‌کنن. نکته ترسناک اینه که ظاهرِ این فایل‌ها خیلی طبیعی و فریبنده‌ست، طوری که حتی کاربرهای باتجربه هم ممکنه فریب بخورن.
با این حال، نگران نباشید؛ رعایت چند نکته ساده می‌تونه تا حد زیادی از شما محافظت کنه. همیشه منبع فایل‌ها رو بررسی کنید، آدرس‌ها رو دوباره چک کنید، از کیف‌پول‌های امن استفاده کنید و مهم‌تر از همه، به هیچ‌کس اطلاعات خصوصی کیف‌پول‌تون رو ندید.
دنیای رمزارزها جذابه، اما امنیت در اون مثل کمربند ایمنی موقع رانندگیه؛ ممکنه همیشه بهش نیاز نداشته باشید، ولی وقتی حادثه پیش بیاد، بودنش نجات‌دهنده‌ست!
