W skrócie

  • Policja Singapuru i agencja ds. cyberbezpieczeństwa szacują straty spowodowane oszustwem wykorzystującym fałszywe oferty pracy i naruszone systemy oprogramowania na 11,8 miliona dolarów.
  • Opisują przypadek, w którym ofiara została skontaktowana przez fałszywego rekrutera firmy kryptowalutowej i skierowana do oceny kodowania przeprowadzanej na firmowym laptopie.
  • Złośliwe oprogramowanie przechwyciło token sesji, który został użyty do ominięcia uwierzytelniania wieloskładnikowego i otwarcia konta Bitbucket ofiary.

Oszuści podszywający się pod rekruterów firm kryptowalutowych wyłudzili 11,8 miliona dolarów (S$15,1 miliona), wykorzystując fałszywe oferty pracy do naruszenia systemów pracodawców swoich ofiar, zgodnie ze wspólnym ostrzeżeniem Policji Singapuru i Agencji Cyberbezpieczeństwa Singapuru.

Przedstawiając w piątkowym oświadczeniu, jak działa to oszustwo, co opisały The Straits Times i Channel NewsAsia, agencje podały, że ofiara została skontaktowana na LinkedIn przez osobę podszywającą się pod rekrutera firmy kryptowalutowej, a następnie przeniesiona na e-mail, gdzie nadawca użył sfałszowanej domeny bardzo podobnej do prawdziwej firmy. Kilka rozmów odbyło się na Google Meet. Rozmówca przez cały czas miał wyłączoną kamerę.

Następnie ofiara została wysłana na sfałszowaną stronę internetową w celu ukończenia technicznej oceny kodowania i zrobiła to na urządzeniu firmowym, pobierając przy tym złośliwe oprogramowanie, nie zdając sobie z tego sprawy.

Złośliwe oprogramowanie przechwyciło token sesji, czyli ciąg znaków, który usługa wydaje, aby utrzymać użytkownika zalogowanego. Ponieważ token reprezentuje już uwierzytelnioną sesję, jego przedstawienie ominęło uwierzytelnianie wieloskładnikowe i otworzyło konto Bitbucket ofiary, gdzie firma przechowuje i zarządza swoim kodem źródłowym.

Stamtąd atakujący zmodyfikowali systemy oprogramowania pracodawcy i dotarli do jego wewnętrznych serwerów, podały agencje, zbierając poświadczenia, które następnie wykorzystano do obejścia limitów transakcji i kontroli zatwierdzeń oraz przemieszczenia środków. Ostrzeżenie nie wymienia żadnej firmy, nie mówi, dokąd trafiły środki, ani nie przypisuje ataków nikomu. Decrypt zwrócił się do LinkedIn o komentarz i zaktualizuje ten artykuł, jeśli odpowiedzą.

Zaraźliwe rozmowy kwalifikacyjne

Ten wzorzec jest dobrze udokumentowany, a badacze śledzą długotrwałą operację, którą nazywają Contagious Interview, w ramach której fałszywi rekruterzy kierują programistów Web3 do złośliwego kodu, w tym ponad 300 spreparowanych pakietów przesłanych do rejestru npm. Grupa znana jako TraderTraitor wykorzystała fałszywe oferty pracy, aby dotrzeć do firmowych systemów chmurowych, a nie do indywidualnych portfeli, co jeden z badaczy przypisał temu, że tam znajdują się pieniądze. Inni podszywali się pod rekruterów z Coinbase i Uniswap, aby nakłonić cele do uruchamiania poleceń.

Te kampanie są przypisywane północnokoreańskim hakerom, ale ten scenariusz nie jest wyłącznie ich. Rosyjskojęzyczna grupa Crazy Evil zbudowała całą fikcyjną firmę Web3, ChainSeeker.io, i reklamowała stanowiska analityków blockchain, aby zwabić kandydatów do zainstalowania złośliwego oprogramowania opróżniającego portfele.

Porady singapurskich agencji dla osób fizycznych to weryfikowanie rekruterów za pośrednictwem oficjalnych kanałów, traktowanie rozmówcy, który nie włącza kamery, jako sygnału ostrzegawczego oraz nigdy nieuruchamianie kodu z niezweryfikowanego źródła. Dla firm agencje zalecają zabezpieczenie kluczy API i wewnętrznych poświadczeń, wzmocnienie uwierzytelniania wieloskładnikowego oraz monitorowanie nieznanych urządzeń i nietypowej aktywności sieciowej. W przypadku podejrzenia naruszenia zalecają izolację dotkniętych systemów, unieważnienie aktywnych sesji, zresetowanie poświadczeń i przegląd dzienników dostępu.