Nepupdate misbruikt Ledger-angst na hardware-implantaat en jaagt op herstelzin
Eerst werden echte Ledger-apparaten fysiek aangepast om herstelzinnen te onderscheppen. Nu gebruiken oplichters precies die angst om bezitters naar een valse firmware-update te lokken.
Beveiligingsbedrijf SlowMist waarschuwde op 16 oktober voor een nagemaakte Ledger-route met een valse Genuine Check, apparaatkeuze en een knop om direct te updaten. De gevaarlijkste stap volgt wanneer gebruikers hun herstelzin prijsgeven.
Echt beveiligingsincident maakt lokaas geloofwaardiger
De timing is geen toeval.
Ledger beschreef een dag eerder hoe criminelen echte apparaten hadden geopend en verborgen onderdelen hadden toegevoegd. Die hardware kon tijdens de eerste installatie de herstelzin onderscheppen.
Volgens Ledgers eigen onderzoek kwamen gemanipuleerde apparaten via wederverkopers in Zuidoost-Azië opnieuw in de verkoop terecht.
De fabrikant stelt dat zijn Secure Element, besturingssysteem en servers daarbij niet waren gekraakt. De ingreep vond plaats nadat de apparaten Ledger hadden verlaten.
Voor phishing is zo'n werkelijk incident waardevol.
Een nepbericht hoeft de dreiging niet meer te verzinnen. Alleen de aangeboden oplossing hoeft vals te zijn.
Nepcontrole moet vertrouwen opbouwen
SlowMist laat zien dat de campagne niet direct begint met een formulier voor geheime woorden.
De gebruiker ziet eerst onderdelen die op een echte beveiligingscontrole lijken. Er verschijnt een Genuine Check, daarna kan een apparaat worden gekozen en vervolgens staat een updateknop klaar.
Dat geeft de aanval meerdere momenten om vertrouwen op te bouwen.
Een bekende merknaam, correct apparaatmodel en professioneel uitziende controle zeggen alleen niets over wie de website beheert.
Voor een wallet ligt de harde grens bij de herstelzin.
Wie die woorden bezit, kan de bijbehorende accounts op een ander apparaat herstellen en het vermogen verplaatsen.
Ledger mailt niet dat firmware moet worden bijgewerkt
Ledger maakt op zijn pagina met actieve phishingcampagnes een duidelijke afspraak met gebruikers.
Het bedrijf verstuurt geen e-mails waarin bezitters worden opgedragen hun firmware of besturingssysteem bij te werken.
Ook vraagt Ledger gebruikers nooit hun herstelzin op een computer in te voeren.
Dat maakt een onverwachte updateoproep per e-mail al verdacht, zelfs wanneer het bericht verwijst naar een werkelijk beveiligingsincident.
Een verzoek om de 24 woorden online in te vullen gaat nog verder. Dat hoort niet bij een normale firmware-update of echtheidscontrole.
Echte updates blijven wel nodig
De phishingwaarschuwing betekent niet dat firmware-updates moeten worden genegeerd.
Ledger adviseert in zijn eigen beveiligingschecklist juist om firmware en apps regelmatig bij te werken.
Het verschil zit in de route.
Een gebruiker hoort zelf de officiële Ledger-software te openen en daar te controleren of een update beschikbaar is. Een onverwachte link uit een e-mail, advertentie of bericht hoort niet het startpunt van zo'n handeling te zijn.
Daarmee ontstaat een simpele regel: het nieuws over een update kan via allerlei kanalen binnenkomen, maar de update zelf begint vanuit de officiële software.
Genuine Check lost niet ieder risico op
Ook de naam Genuine Check kan in deze campagne extra overtuigend klinken.
Die controle bestaat werkelijk. Ledger gebruikt hem om cryptografisch te controleren of een apparaat een originele Secure Element-chip bevat.
Maar een nagemaakte webpagina waarop alleen de woorden “Genuine Check” staan, voert daarmee nog geen echte controle uit.
Daarnaast liet de eerdere implantaatzaak al een andere grens zien. Een origineel apparaat kan fysiek zijn aangepast terwijl de originele beveiligingschip aanwezig blijft.
Echtheid en ongewijzigde hardware zijn dus niet exact dezelfde vraag.
Fysieke aanval en phishing werken anders
De twee Ledger-zaken moeten technisch uit elkaar worden gehouden.
Bij de eerder ontdekte aanval werd hardware aangepast voordat gebruikers het apparaat instelden. Het doel was informatie tijdens de installatie te onderscheppen.
Bij de nieuwe phishingcampagne probeert de aanvaller de gebruiker zelf naar een valse handeling te sturen.
De uitkomst kan wel dezelfde zijn.
Zodra een aanvaller de herstelzin bemachtigt, heeft hij voor de bijbehorende accounts geen fysieke toegang tot het Ledger-apparaat meer nodig.
Daarom is een blockchaintransactie die daarna met de gestolen sleutels wordt ondertekend technisch geldig, ook al begon de diefstal met misleiding.
SlowMist noemt geen bevestigd schadebedrag
Voor deze specifieke phishingcampagne is nog geen vastgesteld aantal slachtoffers gepubliceerd.
SlowMist noemt evenmin een bevestigd bedrag aan gestolen crypto.
Dat onderscheid is belangrijk nu verschillende Ledger-incidenten kort na elkaar spelen. Verliezen uit de fysieke implantaatzaak mogen niet automatisch aan de nieuwe phishingcampagne worden toegeschreven.
De waarschuwing draait voorlopig om de aanvalsmethode.
Een gebruiker die schrikt van een echt hardwareprobleem kan precies daardoor ontvankelijker worden voor een vals bericht dat onmiddellijke bescherming belooft.
Dat is het venijn van deze campagne: de eerste aanval hoeft de tweede niet eens zelf uit te voeren. De angst die hij achterlaat, is al bruikbaar lokaas.
Stop met te veel betalen voor je crypto. Bij de Amsterdamse exchange Finst handel je tegen de laagste tarieven van Nederland, zonder verborgen kosten.
👀 Bekijk Finst nu ›Let op: Beleggen in crypto brengt risico’s met zich mee. Handel alleen met geld dat u kunt missen.
Ga verder met lezen
Dit vind je misschien ook leuk
Laat mensen jouw mening weten
Lees ook
Populair Nieuws
Loading
