Odalett a BTC veretlensége

Ez cseppet sem áprilisi tréfa!
A napokban erre a meglepő hírre lettem figyelmes egyik kedves
(anti?)crypto ismerősömnek hála.

Egy rövid időre megállt bennem is az ütő, de hamar rájöttem, hogy az újságban megnevezett BTC nem egyenlő a sokak szemében a MoonLambo álom megtestesítőjeként elhíresült cryptovalutával, mindenki nagy kedvencével a Bitcoinnal.

Ebben a kontextusban ugyanis a BTC a
(helyesbítve Bicskei Torna Club)
̶B̶u̶d̶a̶p̶e̶s̶t̶i̶ ̶T̶o̶r̶n̶a̶ ̶C̶l̶u̶b̶ elnevezése. Ez az egyesület nem egy újkeletű dolog, hiszen Satoshi Nakamoto előtt már több, mint 100 éve létezett.

Egészen pontosan 1885-ben alakult.

Kicsit körbenéztünk, és a teljesség igénye nélkül ugyancsak találtunk néhány hasonlóságot a már hagyományos rendszerrel és a cryptovalutákkal kapcsolatosan.

FTC ( Ferencvárosi Torna Club ) : FeatherCoin (FTC)
NAV ( Nemzeti Adó-és Vámhivatal ) : NavCoin (NAV)
TEK (Terrorelhárítási Központ) : TEKcoin (TEK)

Ha esetleg te is ismersz hasonlóan hangzatos coinokat, hozzászólásban várjuk.

A legkreatívabb hozzászólót megjutalmazzuk egy…

ui.:

Olvasónk kisebb pontatlanságra hívta fel a figyelmünket, tehát a posztban szereplő hírben a Bicskei Torna Club szerepel, de ugyanakkor érdekességképp
B̶u̶d̶a̶p̶e̶s̶t̶i̶ ̶T̶o̶r̶n̶a̶ ̶C̶l̶u̶b̶ is figyelemreméltó.

Túl a 11,000 dolláron a Bitcoin

A mai nap túllépte a 11000 dolláros árfolyamot a Bitcoin, és ismét elérhető közelségbe került a korábbi csúcs.

Az emelkedés előtt sokan értetlenül állnak, mások a határidős ügyleteket sejtik mögötte, ami a gyors emelkedést a későbbiekben hirtelen vissza is ránthatja.

Az sem lehetetlen, hogy az infláció sújtotta országok, mint például Venezuela vagy Argentína is hozzájárult az árfolyam kitöréséhez.

Érdemes megemlíteni azt is, hogy a mainstream elfogadottság, és ismertség még messze-messze van, legalább is nálunk és jó pár fejlettebb országban is.

Mindezek mellett nagyjából egy év és itt a következő blokkjutalom (block reward) felezés is, ami minden bizonnyal pozitív hatással lesz a BTC értékére.
Már csak az a kérdés, hogy ez előbb, vagy utóbb érkezik el…

Ezzel az új módszerrel kerülik meg a hackerek kétfaktoros azonosítást (2FA)

Az ESET vírusirtó szakemberei olyan hamis kriptovaluta alkalmazásokat fedeztek fel, amelyek eddig még ismeretlen módszerrel játsszák ki az SMS-alapú kétfaktoros azonosítást (2FA), megkerülve a Google nemrégiben életbe lépett korlátozásait is. A Google 2019 márciusában szüntette meg az androidos alkalmazások esetében a hívásokhoz és az SMS-üzenetekhez való hozzáférést, hogy elejét vegye azok rosszindulatú felhasználásának.


A “BtcTurk Pro Beta” , “BTCTurk Pro Beta,” és “BTCTURK PRO” nevű programok egy török kriptovaluta kereskedő, a BtcTurk alkalmazásának adják ki magukat, és céljuk a belépési adatok megszerzése. A kétfaktoros azonosításhoz szükséges SMS-üzenetek megzavarása helyett ezek az alkalmazások az egyszer használatos jelszavakat (one-time passwords – OTP) szerzik meg, az eszköz képernyőjén megjelenő hamis figyelmeztetések segítségével. A 2FA értesítések olvasása mellett az alkalmazások el is tüntethetik ezeket, így a felhasználók nem értesülnek a jogosulatlan tranzakciókról. A három alkalmazás 2019 júniusában jelent meg a Google Play áruházban, azonban az ESET figyelmeztetése után eltávolításra kerültek.


A hamis alkalmazások a Google Play áruházban (kép: ESET)
Hogyan működnek?

Azután, amint a hamis BtcTurk alkalmazások települtek, engedélyt kérnek az értesítésekhez való hozzáféréshez (Notification access). Ezek után az alkalmazások már olvasni tudják a készüléken más alkalmazások értesítéseit, sőt törölhetik vagy akár el is tudják tüntetni azokat, illetve ha kattintható gomb is van az értesítésekben, akkor a felhasználó beavatkozása nélkül észrevétlenül jóvá is hagyhatják a tranzakciókat a nevünkben. Az ESET elemzése szerint a támadók kifejezetten az SMS és email alkalmazások által küldött jóváhagyó értesítéseket célozzák a támadás során.

„A Google 2019 márciusától induló korlátozásainak egyik pozitív hozadéka az volt, hogy a hitelesítő adatokat ellopó kártékony alkalmazások többé nem tudtak visszaélni az SMS-alapú kétfaktoros azonosítási mechanizmusokkal. Most azonban, ezeknek a hamis alkalmazásoknak a felfedezésével, láthattuk az első olyan kártevőt, amely képes megkerülni ezt a korlátozást” – mondta az ESET kutatója, Lukáš Štefanko.

Az Android Jelly Bean 4.3 verziójában vezették be először az értesítésekhez való hozzáférési engedélyt, ami azt jelenti, hogy ez az új módszer szinte minden aktív androidos készüléket érint. A hamis BtcTurk alkalmazások az Android 5.0-ás (KitKat) és újabb verziókra érhetők el, így az androidos eszközök több, mint 90 százalékát érinti.

Ennek a technikának is megvannak a maga határai a 2FA azonosítás megkerülésének hatékonysága terén: csak az értesítés terjedelmének megfelelő szöveghez férnek hozzá a támadók, így nem garantálható, hogy ez a rész tartalmazza az egyszer használatos jelszavakat. Az SMS-ekben a 2FA üzenetek többnyire rövidek, és ezért az egyszer használatos jelszavak (OTP-k) bőven beférhetnek ebbe a terjedelembe. Az email-es azonosítások általában hosszabbak, így emiatt ezen támadási módszer ellen védettebbek.

Mit tehetünk?

Hogyan védhetjük meg magunkat az efféle új módszerek ellen, illetve általában az androidos kártevőktől?

  • Csak akkor bízzunk meg a kriptovalutás és egyéb pénzügyi alkalmazásokban, ha a szolgáltatás hivatalos webhelyén lévő hivatkozás vezet a Google Play áruházba.
  • Csak akkor adjuk meg személyes adatainkat az online formanyomtatványokban, ha biztosak vagyunk abban, hogy azok biztonságosak és valóban hivatalosak.
  • Folyamatosan frissítsük készülékeinken az Android hibajavításait, és az alkalmazásokat.
  • Használjunk megbízható mobilbiztonsági megoldást a fenyegetések blokkolásához és eltávolításához; Az ESET megoldásai észlelik és blokkolják ezeket a rosszindulatú alkalmazásokat, emellett ahhoz is lehetőséget biztosítanak, hogy egy biztonsági audit keretében bármikor felülvizsgálhassuk telepített alkalmazásaink hozzáférési engedélyeit. Amikor csak lehetséges, használjunk szoftver alapú vagy hardveres tokeneket az egyszer használatos jelszavak generálásához, az SMS vagy e-mail helyett.
  • Csak olyan alkalmazásokat használjunk, melyeket megbízhatónak ítélünk, és még ezek esetében is csak azoknál engedélyezzük az értesítésekhez való hozzáférést, amelyeknek jogszerű oka van ezt kérni.