اسکم های رایج در دستگاهای موبایل

اسکم های رایج در دستگاهای موبایل
مقاله منتشر شده در بایننس آکادمی در تاریخ 21اکتبر 2019
ادرس اصلی مقاله به زبان انگلیسی :
https://www.binance.vision/security/common-scams-on-mobile-devices

سال 2017 برای صنعت رمزارز ها سال قابل توجهی بود، چرا که بالا رفتن سریع ‏ارزش، آن را به سمت رسانه های اصلی سوق داد. این مسئله باعث جذابیت ‏زیاد رمزارز ها برای عموم مردم و مجرمان سایبری شد. قابلیت ناشناس بودن نسبی ‏که رمزارز ها ارائه کرده اند باعث شده است که از سوی مجرمانی که قصد دور زدن ‏سیستم های بانکی سنتی و قوانین نظارتی مالی را دارند، بسیار مورد توجه قرار ‏بگیرند.‏

از آنجایی که افراد مدت زمان بیشتری از گوشی های موبایل خود در مقایسه با ‏کامپیوتر هایشان استفاده میکنند، طبیعی است که موبایل ها بیشتر مورد توجه مجرمان سایبری قرار بگیرند. این مقاله نشان می دهد که کلاهبرداران چگونه کاربران رمزارز ها را ‏از طریق دستگاههای تلفن همراه خود هدف قرار داداه اند، همچنین برخی از اقداماتی ‏که کاربران برای محافظت خود در این فضا میتوانند انجام دهند نیز ارئه خواهد شد.‏

برنامه های جعلی رمزارز ها

برنامه های جعلی صرافی های رمزارز

احتمالا شناخته شده ترین برنامه جعلی برای تبادل رمزارز ‏به نام صرافی poloniex‏ است. قبل از ‏شروع به کار اپلیکیشن موبایل تریدینگ در جولای 2018، گوگل پلی لیستی از ‏چند برنامه جعلی  ‏poloniex‏ را ارائه کرد . بسیاری از کاربرانی که آن برنامه های ‏جعلی رادانلود کرده بودند حساب کاربری  ‏poloniex‏ داشتند و پول آنها دزدیده شد. ‏بعضی از برنامه ها حتی یک قدم پیشتر رفته بودند و اطلاعات حساب کاربری ‏gmail‏ افراد را درخواست میکردند.  البته تنها حساب های کاربری تهدید میشد که ‏احراز هویت دو مرحله ای(‌‎2FA‌‏) نداشتند.‏

مراحل زیر میتوانند از شما در برابر چنین اسکم هایی محافظت کنند

•    وبسایت رسمی صرافی مورد نظر را چک کنید تا مطمئن شوید آیا واقعا ‏برنامه موبایل تریدینگ ارائه کرده اند یا خیر، در صورت ارائه فقط از لینکی ‏که سایت معرفی کرده است استفاده کنید.‏

•    نظرات و رتبه بندی ها را بخوانید. برنامه های کلاه برداری نطرات بسیار ‏بدی دارند و شکایت های زیادی از سمت کاربران درباره اینکه مورد ‏کلاهبرداری قرار گرفته اند وجود دارد، بنابراین مطمئن شوید که قبل از ‏دانلود برنامه این موارد را بررسی کرده اید. همچنین درباره برنامه هایی که ‏رتبه بندی و نظرات بسیار مثبت و کاملی ارائه میکنند هم تردید کنید چرا که ‏هر برنامه قانونی میتواند نطرات و بررسی های منفی داشته باشد.‏

•    اطلاعات توسعه دهندگان برنامه را بررسی کنید. به دنبال این باشید که آیا یک ‏کمپانی، ایمیل و یا وبسایت قانونی ارائه شده است یا نه. همچنین درباره ‏اطلاعات ارائه شده جستجو کنید که آیا منطبق با صرافی رسمی هست یا نه.‏

•    تعداد دفعات دانلود را بررسی کنید. تعداد دانلودها باید متقاعد کننده باشد. بعید ‏است که یک صرافی مشهور رمزارز تعداد دانلود کمی داشته باشد.‏

•    احراز هویت دو مرحله ای(‌‎2FA‌‏) را برای حساب کاربری خود فعال کنید. ‏اگرچه 100 درصد امن نیست اما دور زدن‎ 2FA‌‏ بسیار سخت تر است و تفاوت ‏زیادی در محافظت از سرمایه ایجاد میکند،حتی اگر اطلاعات ورود سرقت ‏شود.‏

برنامه های جعلی کیف پول

برنامه های جعلی بسیار متفاوتی وجود دارند. یکی از آنها به دنبال بدست آوردن ‏اطلاعات شخصی کاربران است، مثل رمز عبور کیف پول و کلید خصوصی ‏کاربران.‏

در بعضی موارد، برنامه های جعلی آدرس های عمومی از پیش ایجاد شده را به ‏کاربران ارائه میدهند و کاربر تصور میکند که پول به این آدرسها واریز شده است، ‏در صورتی که دسترسی مجدد به کلید های خصوصی ندارند و بنابراین به پولی که ‏ارسال کرده اند دسترسی نخواهند داشت.‏

ولت های جعلی به این صورت، برای رمزارز های مشهوری مثل اتریوم و نئو ‏ساخته شده اند و متاسفانه کاربران زیادی پول خود را از دست داده اند. در اینجا ‏اقدامات پیشگیرانه ای برای جلو گیری از قربانی شدن وجود دارد:‏

•    مواردی که برای برنامه های صرافی ها در بالا گفته شد در مورد برنامه های ‏ولت نیز به همان اندازه قابل استفاده هستند.با این حال کار دیگری که در ‏مواجهه با ولت ها میتوانید انجام دهید این است که در اولین استفاده از ولت ‏مطمئن شوید آدرس جدیدی ایجاد شده است و شما کلید های خصوصی (یا ‏عبارت های یاد آور ولت)را در اختبار دارید. یک برنامه قانونی ولت این ‏امکان را به شما میدهد که از کلید خصوصی خود خروجی بگیرید ولی این ‏نکته هم مهم است که جفت کلید هایی که تولید میشوند در معرض خطر نباشند، ‏پس باید از یک نرم افزار معتبر(ترجیحا اوپن سورس) استفاده کنید.‏

•    حتی اگر برنامه کلید خصوصی ( یا عبارت های بازیابی) به شما ارائه داد، ‏باید بررسی کنید که آیا آدرس عمومی از طریق آن قابل دستیابی هست یا نه. ‏به عنوان مثال بعضی از ولت های بیتکوین این امکان را به کاربران میدهند ‏که کلید خصوصی یا عبارات بازیابی خود را وارد کنند تا آدرس را ساخته و ‏به پول دسترسی پیدا کنند. برای به حداقل رساندن خطراتی که عبارات یا ‏کلیدهای خصوصی را تهدید میکنند میتوانید این کار را در کامپیوتری انجام ‏دهید که به اینترنت متصل نیست.‏

برنامه های سرقت رمزارز(‏Cryptojacking‏)‏

Cryptojacking به علت محدودیت های کمی که برای ورود به سیستم ها دارد و ‏همچنین سربار کمی که نیاز دارد بسیار مورد توجه مجرمان سایبری قرار گرفته ‏است. علاوه بر این، میتواند در درازمدت برای آنها درامد زایی داشته باشد. از آنجا ‏که دستگاه های موبایل قدرت پردازشی کمتری در مقایسه با کامپیوتر ها دارند، به ‏طور فزاینده ای هدف کریپتو جکینگ قرار میگیرند.‏

بجز ‏cryptojacking‏ از طریق مرورگرهای وب، مجرمان سایبری برنامه های را ‏تولید کرده اند که به نظر بازی های قانونی با ابزار ها و برنامه های آموزشی به نظر ‏میرسند. بسیاری از این برنامه ها به گونه ای طراحی شده اند که مخفیانه اسکریپت ‏های ماینینگ را در پس زمینه اجرا میکنند‏

همچنین بعضی از برنامه های ‏cryptojacking‏ وجود دارند که به عنوان برنامه ‏های ماینر معرفی میشوند ولی پاداش حاصل از ماین بجای کاربر به تولید کننده ‏برنامه داده میشود.‏

بدتر اینکه، این مجرمان سایبری به طور فزاینده ای پیچیده شده اند از الگوریتم های ‏ماینینگ سبکی استفاده میکنند تا قابل تشخیص نباشند.‏

Cryptojacking به طور غیر قابل باوری برای دستگاهای تلفن زیان آور هستند چرا ‏که کارایی و سرعت تخریب قطعات را افزایش میدهند.‏

اقدامات زیر میتواند شما را در برابر ‏cryptojacking‏  محافظت کند

•    برنامه ها را تنها از فروشگاهای معتبر دانلود کنید، مثل گوگل پلی(که البته در میان برنامه های رسمی گوگل پلی نیز برنامه های مخرب و اسکم و کریپتوجکینگ کم نیست). برنامه های ‏دزدی از قبل اسکن نشده اند و به احتمال زیاد حاوی اسکریپت های ‏cryptojacking ‌‏ هستند.‏

•    گوشی تلفن خود را برای مصرف غیر عادی باتری یا داغ شدن بیش از حد ‏کنترل کنید و در صورت مشاهده، برنامه ای که مسبب آن است را متوقف ‏کنید.‏

•    دستگاه و برنامه های آن را مرتبا به روز رسانی کنید تا آسیب پذیری های ‏امنیتی برطرف شوند.‏

•    از مرورگرهایی استفاده کنید که در برابر ‏cryptojacking‏ ایمن شده اند و یا ‏پلاگین های معتبری را برای آن نصب کنید. مثل ‏MinerBlock، ‏NoCoin‏ و ‏Adblock‏.‏

•    در صورت امکان انتی ویروس موبایل نصب کنید وآن را به روز نگه دارید.‏

Giveawayهای رایگان و برنامه های جعلی ماینینگ رمزارزها :
برنامه هایی هستند که به کاربران وعده استحراج رمزارز میدهند ‏ولی جز نمایش تبلیغات کاری انجام نمی دهند. این برنامه ها با نشان دادن میزان ‏افزایشی ریوارد های حاصل از ماین، کاربران را به باز نگه داشتن برنامه ها تشویق ‏میکنند. حتی بعضی از آنها کاربر را تشویق میکنند تا در ازای دادن امتیاز 5 ستاره ‏به برنامه ‏ریوارد بیشتری دریافت کنند. البته هیچکدام از این برنامه ها واقعا ماینینگ انجام ‏نمیدهند وکاربران ریوارد دریافت نمیکنند.‏

برای ایمن ماندن در برابر این اسکم ها، توجه داشته باشید که برای اکثریت رمزارز ‏ها، ماینینگ نیاز به سخت افزار های بسیار تخصصی (‏ASICs‏) دارد، به این معنا که ‏ماین کردن روی دستگاه تلفن همراه امکان پذیر نیست، هرمقدار که شما ماین کنید در ‏بهترین حالت بیهوده خواهد بود.از چنین برنامه هایی دوری کنید.‏

برنامه های ‏Clipper

‏ چنین برنامه هایی آدرس های رمزارزی را که کپی میکنید تغییر میدهد و آنها را با ‏آدرس مهاجم به سیستم جایگزین میکند. بنا بر این در حالی که قربانی آدرس گیرنده ‏را درست وارد کرده است آدرس مهاجم در تراکنش جایگزین میشود.  ‏

برای پیشگیری از قربانی شدن توسط چنین برنامه هایی اقدامات زیر را هنگام ‏پردازش تراکنش میتوانید انجام دهید.‏

•    همیشه دو یا سه بار ادرسی را که در فیلد گیرنده کپی کرده اید را بررسی ‏کنید. تراکنش های بلاکچین غیر قابل بازگشت هستند، پس باید مراقب باشید.‏

•    بهتر است تمام آدرس را کنترل کنید، نه فقط بخشی از آن. بعضی از برنامه ها ‏به اندازه ای هوشمند هستند که آدرسی را جایگزین کنند که شبیه به ادرس ‏مورد نظر شماست.‏

SIM swapping‏ ‏

در اسکم های ‏sim swapping، مهاجم سایبری به شماره تلفن کاربر دسترسی پیدا ‏میکند و این کار را با استفاده از تکنیک های مهندسی اجتماعی انجام میدهند تا ‏اپراتورهای تلفن همراه را مجاب کنند سیم کارت جدیدی برای آنها صادر کنند. ‏شناحته شده ترین کلاهبرداری ‏sim swapping، مایکل تریپین، است. وی ادعا کرده ‏است که ‏AT & T‏ با سهل انگاری در استفاده از اطلاعات تلفن همراهش موجب از ‏دست دادن توکن هایی به ارزش 20 میلیون دلار شده است.‏

زمانی که مهاجم سایبری به شماره تلفن شما دسترسی پیدا کند، میتواند از آن برای ‏دور زدن ‌‎2FA‌‏ استفاده کند و به ولت و حساب کاربری اکسچنج شما دسترسی پیدا ‏کند.‏

راه دیگری که مهاجمان سایبری میتوانند به کار گیرند،کنترل پیامک های شماست. ‏وجود نقص در شبکه های ارتباطی میتواند منجر به رهگیری پیامک های شما توسط ‏مهاجمان شود و بتوانند به پیام احراز هویت مرحله دوم دست پیدا کنند.‏

چیزی که نگران کننده است این است که این حمله وابسته به واکنش های کاربران ‏نیست.مثل دانلود برنامه جعلی یا کلیک روی یک لینک.‏

برای پیشگیری از چنین کلاهبرداری هایی اقدامات زیر مد نظر قرار گرفته اند.‏

•    از شماره تلفن خود برای احراز هویت دو مرحله ای استفاده نکنید، بلکه از ‏برنامه هایی مثل ‏Google Authenticator ‌‏ یا ‏Authy‏ برای ایمن کردن ‏اکانت خود استفاده کنید. مهاجمان حتی با دسترسی به شماره تماس شما هم قادر ‏به دسترسی به این برنامه ها نیستند. علاوه بر این میتوانید از سخت افزار ‏احراز دو مرحله ای مثل ‏Yubikey‏ یا ‏google’s Titan Security Key‏ ‏استفاده کنید.‏

•    اطلاعات شناسایی شخصی خود مثل شماره تلفن همراه، را در شبکه های ‏اجتماعی قرار ندهید. مهاجمان میتوانند از آنها برای جعل هویتتان استفاده کنند.‏

•    در هیچ شبکه اجتماعی اعلام نکنید که دارای رمزارزی هستید، چرا که ‏میتواند شما را هدف مهاجمان قرار دهد. یا اگر این مورد را دیگران میدانند از ‏افشای صرافی یا ولتی که پول را نگهداری میکنید خودداری کنید.‏

•    با ارائه کنندگان تلفن همراهتان تمهیداتی را برای محافظت از حساب خود ‏ترتیب دهید. به این معنا که پین یا کلمه عبوری را به حساب خود متصل کنید و تنها کاربرانی بتوانند تغییراتی در حساب کاربری اعمال کنند که پین کد را بدانند.این تغییرات باید حضوری انجام شود و نباید تلفنی باشد.

Wifi

مهاجمان سایبری دائما به دنبال ورود به دستگاه تلفن همراه افراد به خصوص ‏کاربران رمزارزها هستند که یکی از راه های آن ‏wifi‏ است. ‏Wifi‏ های عمومی نا ‏امن هستند و کاربران قبل از اتصال به آنها باید اقدامات امنتی لازم را انجام دهند، در ‏غیر این صورت اطلاعات تلفن همراه آنها در معرض خطر قرار میگیرد.این ‏اقدامات در مقاله ‏wifi‏ عمومی ارائه شده است.‏(بعدا براتون ترجمش میکنیم!!! )

جمع بندی

تلفن های همراه به بخش مهمی از زندگی ما تبدیل شده اند، در واقع به قدری با ‏هویت دیجیتالی ما در هم امیخته اند که ممکن است به بزرگترین آسیب پذیری ما ‏تبدیل شوند. مهاجمان مجازی از این نکته آگاه هستند و به دنبال راهی برای استفاده ‏از آن هستند. امن کردن تلفن همراه دیگر یک موضوع اختیاری نیست و به یک ‏ضرورت تبدیل شده است.، پس ایمن باشید.‏

مترجم خانم ستاره افشاری
آیدی توئیتر : @setarehAfshari