Fałszywa oferta pracy w kryptowalutach, która zainfekowała służbowe urządzenie, doprowadziła do strat w wysokości 11,8 miliona dolarów po tym, jak atakujący uzyskali dostęp do systemów firmowych i ominęli kontrolę transakcji, poinformowały władze Singapuru.
Podsumowanie
- Fałszywa oferta pracy w kryptowalutach doprowadziła do strat w wysokości 11,8 miliona dolarów po tym, jak złośliwe oprogramowanie zainfekowało firmowe urządzenie.
- Atakujący ukradli token sesji, ominęli uwierzytelnianie wieloskładnikowe i uzyskali dostęp do repozytorium Bitbucket firmy.
- Skradzione poświadczenia zostały później użyte do ominięcia limitów transakcyjnych i kontroli zatwierdzania transferów kryptowalut.
- Władze Singapuru wezwały firmy do zabezpieczenia poświadczeń, repozytoriów kodu i systemów wdrożeniowych.
Policja Singapuru i Agencja Cyberbezpieczeństwa Singapuru poinformowały 14 sierpnia, że ofiara została po raz pierwszy skontaktowana na LinkedIn przez oszusta podszywającego się pod rekrutera z firmy związanej z kryptowalutami, co rozpoczęło proces rozmowy kwalifikacyjnej, który ostatecznie dał atakującym dostęp do pracodawcy ofiary.
Komunikacja przeniosła się z LinkedIn na e-mail, gdzie rzekomy rekruter użył sfałszowanej domeny, która bardzo przypominała adres legalnej firmy. Ofiara uczestniczyła również w kilku rozmowach przez Google Meet, chociaż osoba prowadząca rozmowy miała wyłączoną kamerę podczas połączeń.
W miarę postępu procesu rekrutacji ofiara została wysłana na sfałszowaną stronę internetową i poproszona o wykonanie technicznego zadania programistycznego na służbowym urządzeniu. Złośliwe oprogramowanie zostało pobrane podczas zadania, a ofiara nie zdawała sobie sprawy, że urządzenie zostało naruszone.
Fałszywe zadanie rekrutacyjne w kryptowalutach otworzyło dostęp do systemów firmowych
Po zainstalowaniu złośliwe oprogramowanie zebrało token sesji ofiary, podały SPF i CSA. Atakujący następnie użyli skradzionego tokena do ominięcia uwierzytelniania wieloskładnikowego i uzyskali dostęp do konta Bitbucket ofiary, które było połączone z repozytorium kodu pracodawcy.
Bitbucket to usługa hostingu repozytoriów kodu używana przez zespoły programistyczne do przechowywania, zarządzania i współpracy nad kodem źródłowym. Dostęp do konta pracownika może zatem ujawnić więcej niż pojedyncze urządzenie, gdy konto ma uprawnienia powiązane z repozytoriami firmowymi lub innymi systemami programistycznymi.
Po wejściu na konto Bitbucket atakujący zmodyfikowali automatyczne instrukcje wdrażania oprogramowania firmy, według obu agencji. Intruz następnie przeniknął do wewnętrznej infrastruktury firmy, gdy atakujący zdalnie uzyskali dostęp do jej serwerów.
Poświadczenia zebrane podczas naruszenia pozwoliły atakującym ominąć limity transakcyjne i kontrole zatwierdzania używane do kontrolowania transferów kryptowalut. SPF i CSA podały, że atakujący następnie przeprowadzili transakcje kryptowalutowe, które spowodowały łączne straty w wysokości 11,8 miliona dolarów.
Użycie zadania programistycznego jako metody dostarczania złośliwego oprogramowania przypomina ataki wcześniej udokumentowane w sektorze kryptowalut, gdzie programiści i inni pracownicy techniczni są kontaktowani z ofertami pracy, a następnie proszeni o uruchomienie kodu lub zainstalowanie oprogramowania.
W maju crypto.news poinformowało o złośliwym oprogramowaniu TrapDoor, które atakowało programistów kryptowalut i sztucznej inteligencji za pomocą złośliwych pakietów oprogramowania. Platforma bezpieczeństwa dla programistów Socket znalazła co najmniej 34 złośliwe pakiety i 384 powiązane wersje w ekosystemach npm, PyPI i Rust.
Według Socket, pakiety zostały zaprojektowane do kradzieży informacji o portfelach kryptowalutowych wraz z tokenami GitHub, kluczami API, poświadczeniami chmurowymi i dostępem SSH. Kampania umieściła środowiska programistyczne w punkcie naruszenia, umożliwiając atakującym celowanie w poświadczenia, które mogły zapewnić dostęp do systemów poza osobistymi kontami kryptowalutowymi ofiary.
Pracownicy kryptowalut wielokrotnie padali ofiarą ataków złośliwego oprogramowania opartych na rekruterach
Kampania złośliwego oprogramowania Obsidian z kwietnia użyła LinkedIn i Telegrama do kontaktu z profesjonalistami z branży kryptowalut i finansów. Elastic Security Labs odkryło, że atakujący polegali na inżynierii społecznej, aby przekonać cele do zainstalowania złośliwych wtyczek społecznościowych dla legalnej aplikacji do notatek Obsidian.
Złośliwe oprogramowanie, zidentyfikowane jako PHANTOMPULSE, używało trzech sieci blockchain do otrzymywania poleceń i utrzymywania trwałości, według Elastic Security Labs. Naukowcy zalecili ścisłe zasady dotyczące wtyczek na poziomie aplikacji w firmach finansowych, aby zmniejszyć ryzyko przekształcenia legalnego oprogramowania produkcyjnego w punkt wejścia dla atakujących.
W tym samym miesiącu dostawca portfela Zerion potwierdził naruszenie bezpieczeństwa o wartości 100 000 dolarów, powiązane z długotrwałą operacją socjotechniczną związaną z północnokoreańskimi atakującymi. Naruszenie bezpieczeństwa Zerion polegało na użyciu przez atakujących sztucznej inteligencji do podszywania się pod zaufane kontakty przed skompromitowaniem danych uwierzytelniających do gorącego portfela.
Naukowcy z Security Alliance powiązali tę kampanię ze 164 złośliwymi domenami używanymi w próbach infiltracji firm kryptowalutowych za pośrednictwem usług takich jak Slack i LinkedIn. Zerion stwierdził, że atakujący celowali w ludzką stronę jego operacji, zamiast bezpośrednio łamać jego podstawową technologię portfela.
SPF i CSA nie przypisały najnowszej straty w wysokości 11,8 miliona dolarów amerykańskich Korei Północnej ani żadnej innej grupie hakerskiej.
Jednak socjotechnika oparta na rekrutacji była wcześniej używana przez północnokoreańskich aktorów zagrożeń przeciwko firmom kryptowalutowym. Google Cloud i Wiz poinformowały w 2025 r., że UNC4899, znany również jako TraderTraitor, podchodził do pracowników firm kryptowalutowych przez LinkedIn i Telegram, podszywając się pod rekruterów.
W incydentach związanych z podejściem do pracy zdalnej pracownicy byli namawiani do uruchamiania złośliwych kontenerów Docker na swoich stacjach roboczych. Kontenery wdrażały downloadery i backdoory połączone z infrastrukturą kontrolowaną przez atakujących, po czym grupa przemieszczała się po sieciach wewnętrznych, zbierała dane uwierzytelniające i szukała systemów używanych do przetwarzania transakcji kryptowalutowych.
Google poinformował, że jeden incydent pozwolił UNC4899 wyłączyć uwierzytelnianie wieloskładnikowe na uprzywilejowanym koncie Google Cloud i uzyskać dostęp do usług związanych z portfelem. Grupa działa co najmniej od 2020 r. i mocno skupia się na firmach kryptowalutowych i blockchain, według badań zagrożeń firmy.
Władze Singapuru wzywają do zaostrzenia kontroli repozytoriów i danych uwierzytelniających
Po ostatnim incydencie SPF i CSA zaleciły firmom i osobom fizycznym, szczególnie działającym w technologii i kryptowalutach, weryfikację tożsamości rekruterów i firm, które rzekomo reprezentują, przed interakcją z plikami, stronami internetowymi lub oprogramowaniem związanym z pracą.
Firmom zalecono również ochronę kluczy API i wewnętrznych danych uwierzytelniających przy jednoczesnym wzmocnieniu uwierzytelniania wieloskładnikowego. Szczególnie zalecano zabezpieczenie repozytoriów kodu i potoków wdrażania oprogramowania, ponieważ dostęp do tych systemów może umożliwić kompromitację, która zaczyna się na jednym urządzeniu pracownika i dociera do infrastruktury firmy.
Agencje wezwały również firmy do przeglądu sposobu przechowywania i uzyskiwania dostępu do wrażliwych danych uwierzytelniających. W najnowszym przypadku dane uwierzytelniające zebrane po początkowej kompromitacji zostały użyte do obejścia limitów transakcji i kontroli zatwierdzania, umożliwiając atakującym wykonanie transferów kryptowalut.
Dostęp programistów pozostaje powracającym celem, ponieważ repozytoria oprogramowania i powiązane narzędzia mogą zawierać dane uwierzytelniające lub zapewniać trasy do systemów chmurowych i produkcyjnych. Na przykład kampania TrapDoor odkryta w maju celowała w tokeny GitHub, klucze SSH i dane uwierzytelniające chmury wraz z danymi portfela kryptowalut, dając atakującym kilka rodzajów dostępu z jednego zainfekowanego środowiska programistycznego.
Wcześniejsze oszustwa rekrutacyjne stosowały podobne kroki z różnymi metodami dostarczania złośliwego oprogramowania. W grudniu 2024 r. kampania fałszywych rozmów kwalifikacyjnych podchodziła do profesjonalistów Web3 przez LinkedIn, Telegram i platformy freelancerskie z lukratywnymi ofertami pracy.
Cele były kierowane do usługi rozmów wideo i zadawano im zwykłe pytania branżowe przed dotarciem do końcowego zadania wideo. Gdy ofiary napotkały rzekomy problem z mikrofonem lub kamerą, pokazywano im instrukcje rozwiązywania problemów, które wymagały wykonania poleceń na ich komputerach.
Analityk on-chain Taylor Monahan powiedział wówczas, że wykonanie poleceń może dać atakującym ogólny dostęp do urządzenia, stwarzając okazje do kradzieży wrażliwych informacji, monitorowania aktywności lub kompromitacji portfeli kryptowalut.
Skompromitowane urządzenia należy natychmiast izolować
W przypadku firm podejrzewających, że urządzenie pracownika lub system wewnętrzny zostały już naruszone, SPF i CSA zaleciły natychmiastową izolację dotkniętego sprzętu lub systemów.
Aktywne sesje powinny zostać unieważnione, a poświadczenia zresetowane, podczas gdy dzienniki dostępu powinny zostać sprawdzone pod kątem oznak, że atakujący uzyskali dostęp do innych kont lub infrastruktury firmowej. Władze zaleciły również firmom sprawdzenie, czy repozytoria kodu, serwery wewnętrzne, konta lub przepływy zatwierdzania nie zostały zmienione podczas naruszenia.
W przypadku osób fizycznych agencje zaleciły ostrożność w odniesieniu do nieproszonych ofert rekrutacyjnych oraz niezależne weryfikowanie zarówno rekrutera, jak i zaangażowanej firmy. Zalecono dodatkową kontrolę, gdy proces rozmowy kwalifikacyjnej wymaga od kandydatów pobierania plików, uruchamiania nieznanego kodu lub korzystania z witryn internetowych dostarczonych przez osoby, których nie zweryfikowali niezależnie.
Firmom osobno zalecono przegląd dostępu do kluczy API i innych wewnętrznych poświadczeń, wzmocnienie kontroli uwierzytelniania wieloskładnikowego oraz zabezpieczenie infrastruktury programistycznej, w tym repozytoriów i zautomatyzowanych potoków wdrażania.
