NFT:慢雾：朝鲜APT组织对NFT用户大规模钓鱼事件分析_justice币超话

背景

9月4日，推特用户PhantomX发推称朝鲜APT组织针对数十个ETH和SOL项目进行大规模的网络钓鱼活动。

该推特用户给出了196个钓鱼域名信息，分析后关联到朝鲜黑客相关信息，具体的域名列表如下：

慢雾安全团队注意到该事件并第一时间跟进深入分析：

由于朝鲜黑客针对加密货币行业的攻击模型多样化，我们披露的也只是冰山一角，因为一些保密的要求，本篇文章也仅针对其中一部分钓鱼素材包括相关钓鱼钱包地址进行分析。这里将重点针对NFT钓鱼进行分析。

钓鱼网站分析

经过深入分析，发现此次钓鱼的其中一种方式是发布虚假NFT相关的、带有恶意Mint的诱饵网站，这些NFT在OpenSea、X2Y2和Rarible等平台上都有出售。此次APT组织针对Crypto和NFT用户的钓鱼涉及将近500多个域名。

慢雾：远程命令执行漏洞CVE-2023-37582在互联网上公开，已出现攻击案例:金色财经报道，据慢雾消息，7.12日Apache RocketMQ发布严重安全提醒，披露远程命令执行漏洞（CVE-2023-37582）目前PoC在互联网上公开，已出现攻击案例。Apache RocketMQ是一款开源的分布式消息和流处理平台，提供高效、可靠、可扩展的低延迟消息和流数据处理能力，广泛用于异步通信、应用解耦、系统集等场景。加密货币行业有大量平台采用此产品用来处理消息服务，注意风险。漏洞描述：当RocketMQ的NameServer组件暴露在外网时，并且缺乏有效的身份认证机制时，攻击者可以利用更新配置功能，以RocketMQ运行的系统用户身份执行命令。[2023/7/14 10:54:22]

查询这些域名的注册相关信息，发现注册日期最早可追溯到7个月前：

同时我们也发现朝鲜黑客常使用的一些独有的钓鱼特征：

特征一：钓鱼网站都会记录访客数据并保存到外部站点。黑客通过HTTPGET请求将站点访问者信息记录到外部域，发送请求的域名虽不同但是请求的API?接口都为“/postAddr.php”。一般格式为“https://nserva.live/postAddr.php??mmAddr=......&accessTime=xxx&url=evil.site”，其中参数mmAddr记录访客的钱包地址，accessTime记录访客的访问时间，url记录访客当前所访问的钓鱼网站链接。

慢雾：Moonbirds的Nesting Contract相关漏洞在特定场景下才能产生危害:据慢雾区情报反馈，Moonbirds 发布安全公告，Nesting Contract 存在安全问题。当用户在 OpenSea 或者 LooksRare等NFT交易市场进行挂单售卖时。卖家不能仅通过执行 nesting(筑巢) 来禁止NFT售卖，而是要在交易市场中下架相关的 NFT 售卖订单。否则在某个特定场景下买家将会绕过 Moonbirds 在nesting(筑巢)时不能交易的限制。慢雾安全团队经过研究发现该漏洞需要在特定场景才能产生危害属于低风险。建议 Moonbirds 用户自行排查已 nesting(筑巢)的 NFT 是否还在 NTF 市场中上架，如果已上架要及时进行下架。更多的漏洞细节请等待 Moonbirds 官方的披露。[2022/5/30 3:50:23]

特征二：钓鱼网站会请求一个NFT项目价目表，通常HTTP的请求路径为“getPriceData.php”：

特征三：存在一个链接图像到目标项目的文件“imgSrc.js”，包含目标站点列表和在其相应网络钓鱼站点上使用的图像文件的托管位置，这个文件可能是钓鱼网站模板的一部分。

进一步分析发现APT用于监控用户请求的主要域名为“thedoodles.site”，此域名在APT活动早期主要用来记录用户数据：

慢雾：美国演员SethGreen的NFT遭钓鱼攻击，资金已跨链到 BTC 并混币:5月18日消息，美国演员SethGreen遭遇钓鱼攻击致4个NFT（包括1个BAYC、2个MAYC和1个Doodle）被盗，钓鱼者地址已将NFT全部售出，获利近160枚ETH（约33万美元）。

慢雾MistTrack对0xC8a0907开头的钓鱼地址分析后，发现总共有8个用户的NFT被盗，包含MAYC、Doodle、BAYC、VOX等12类NFT，全部售出后总获利194ETH。同时，该钓鱼地址初始资金0.188ETH来自Change NOW。钓鱼者地址将大部分ETH转换为renBTC后跨链到6个BTC地址，约14BTC均通过混币转移以躲避追踪。NFT钓鱼无处不在，请大家保持怀疑，提高警惕。[2022/5/18 3:24:23]

查询该域名的HTTPS证书启用时间是在7个月之前，黑客组织已经开始实施对NFT用户对攻击。

最后来看下黑客到底运行和部署了多少个钓鱼站点：

比如最新的站点伪装成世界杯主题：

慢雾：警惕ETH新型假充值，已发现在野ETH假充值攻击:经慢雾安全团队监测，已发现存在ETH假充值对交易所攻击的在野利用，慢雾安全团队决定公开修复方案，请交易所或钱包及时排查ETH入账逻辑，必要时联系慢雾安全团队进行检测，防止资金丢失。建议如没有把握成功修复可先临时暂停来自合约地址的充值请求。再进行如下修复操作：1、针对合约ETH充值时，需要判断内联交易中是否有revert的交易，如果存在revert的交易，则拒绝入账。2、采用人工入账的方式处理合约入账，确认充值地址到账后才进行人工入账。同时需要注意，类以太坊的公链币种也可能存在类似的风险。[2020/5/23]

继续根据相关的HTTPS证书搜索得到相关的网站主机信息：

在一些主机地址中发现了黑客使用的各种攻击脚本和统计受害者信息的txt文件。

这些文件记录了受害者访问记录、授权情况、使用插件钱包的情况：

动态 | 慢雾：巨鲸被盗2.6亿元资产，或因Blockchain.info安全体系存在缺陷:针对加密巨鲸账户（zhoujianfu）被盗价值2.6亿元的BTC和BCH，慢雾安全团队目前得到的推测如下：该大户私钥自己可以控制，他在Reddit上发了BTC签名，已验证是对的，且猜测是使用了一款很知名的去中心化钱包服务，而且这种去中心化钱包居然还需要SIM卡认证，也就是说有用户系统，可以开启基于SIM卡的短信双因素认证，猜测可能是Blockchain.info，因为它吻合这些特征，且历史上慢雾安全团队就收到几起Blockchain.info用户被盗币的威胁情报，Blockchain.info的安全体系做得并不足够好。目前慢雾正在积极跟进更多细节，包括与该大户直接联系以及尽力提供可能需求的帮助。[2020/2/22]

可以发现这些信息跟钓鱼站点采集的访客数据相吻合。

其中还包括受害者approve记录：

以及签名数据sigData等，由于比较敏感此处不进行展示。

另外，统计发现主机相同IP下NFT钓鱼站群，单独一个IP下就有372个NFT钓鱼站点：

另一个IP下也有320个NFT钓鱼站群：

甚至包括朝鲜黑客在经营的一个DeFi平台：

由于篇幅有限，此处不再赘述。

钓鱼手法分析

结合之前文章，我们对此次钓鱼事件的核心代码进行了分析。我们发现黑客钓鱼涉及到WETH、USDC、DAI、UNI等多个地址协议。

下面代码用于诱导受害者进行授权NFT、ERC?20等较常见的钓鱼Approve操作：

除此之外，黑客还会诱导受害者进行Seaport、Permit等签名。

下面是这种签名的正常样例，只是在钓鱼网站中不是“opensea.io”这个域名。

我们在黑客留下的主机也发现了这些留存的签名数据和“Seaport”的签名数据特征一致。

由于这类型的签名请求数据可以“离线存储”，黑客在拿到大量的受害者签名数据后批量化的上链转移资产。

MistTrack分析

对钓鱼网站及手法分析后，我们选取其中一个钓鱼地址进行分析。

可以看到这个地址已被MistTrack标记为高风险钓鱼地址，交易数也还挺多。钓鱼者共收到1055个NFT，售出后获利近300ETH。

往上溯源，该地址的初始资金来源于地址转入的4.97ETH。往下溯源，则发现该地址有与其他被MistTrack标记为风险的地址有交互，以及有5.7ETH转入了FixedFloat。

再来分析下初始资金来源地址，目前收到约6.5ETH。初始资金来源于Binance转入的1.433ETH。

同时，该地址也是与多个风险地址进行交互。

总结

由于保密性和隐私性，本文仅针对其中一部分?NFT?钓鱼素材进行分析，并提炼出朝鲜黑客的部分钓鱼特征，当然，这只是冰山一角。慢雾在此建议，用户需加强对安全知识的了解，进一步强化甄别网络钓鱼攻击的能力等，避免遭遇此类攻击。

Ps.感谢hip、ScamSniffer提供的支持。

相关链接：

https://www.prevailion.com/what-wicked-webs-we-unweave

https://twitter.com/PhantomXSec/status/1566219671057371136?

https://twitter.com/evilcos/status/1603969894965317632?

标签：NFTETHHTTSTINFTSHIBA价格ethnographyinbusiness答案CHTTjustice币超话

火币下载热门资讯