Шахрайські вакансії у криптосфері на LinkedIn призвели до крадіжки 11,8 млн доларів за допомогою атак на сесійні токени

Поліція Сінгапуру та Агентство кібербезпеки Сінгапуру повідомили в п’ятницю, що шахраї, які видавали себе за рекрутерів криптовалютних компаній у LinkedIn, викрали 11,8 мільйона доларів (S$15,1 мільйона), використовуючи фальшиві пропозиції роботи для компрометації роботодавців жертв. У спільному попередженні установи детально описали, як зловмисники контактували з цілями в LinkedIn, переводили спілкування на електронну пошту з підробленого домену, проводили відеоспівбесіди з вимкненими камерами та спрямовували жертв на виконання шкідливих тестових завдань із програмування на корпоративних пристроях. Шкідливе програмне забезпечення викрадало токени сеансів, які обходили багатофакторну автентифікацію та надавали доступ до облікових записів жертв у Bitbucket, що дозволяло зловмисникам змінювати програмні системи та переказувати кошти. Ця модель атаки відповідає задокументованим кампаніям, таким як Contagious Interview, у межах якої дослідники відстежили атаки на розробників Web3 із використанням понад 300 скомпрометованих пакетів npm, а також операціям, пов’язаним із північнокорейськими та російськомовними хакерськими угрупованнями.

Зловмисники викрадали токени сеансів через шкідливі тестові завдання з програмування

Сінгапурські установи описали випадок, коли з жертвою зв’язалася в LinkedIn людина, яка видавала себе за рекрутера криптовалютної компанії. Спілкування перемістилося на електронну пошту з використанням підробленого домену, що дуже нагадував адресу легітимної фірми. Після цього відбулося кілька співбесід у Google Meet, причому співрозмовник протягом усіх сеансів тримав камеру вимкненою.

Жертва отримала інструкції виконати технічне тестове завдання з програмування на підробленому вебсайті та використала наданий компанією пристрій, щоб завантажити й запустити тест. Завантажений файл містив шкідливе програмне забезпечення, яке викрало токен сеансу — рядок, який сервіс видає для підтримання входу користувача в систему. Оскільки токен представляв уже автентифікований сеанс, його використання обходило багатофакторну автентифікацію та відкривало доступ до облікового запису жертви в Bitbucket, де компанія зберігає та керує своїм вихідним кодом.

Отримавши доступ до скомпрометованого облікового запису Bitbucket, зловмисники внесли зміни до програмних систем роботодавця та дісталися внутрішніх серверів. Установи заявили, що зловмисники зібрали облікові дані, які використовувалися для обходу лімітів транзакцій і перевірок схвалення, що дозволило переказати кошти. У попередженні не названо жодної постраждалої компанії, не уточнено, куди було переказано кошти, а також не вказано конкретних зловмисників, яким приписують атаки.

Дослідники відстежують кампанії Contagious Interview і TraderTraitor

Дослідники задокументували цю модель атаки в межах тривалої операції під назвою Contagious Interview, у якій фальшиві рекрутери спрямовують розробників Web3 до шкідливого коду. У межах цієї кампанії до реєстру npm було завантажено понад 300 шкідливих пакетів.

Група, відома як TraderTraitor, використовувала фальшиві пропозиції роботи, щоб отримувати доступ до корпоративних хмарних систем, а не до окремих гаманців. Один із дослідників пояснив такий вибір тим, що саме в корпоративних системах зберігаються більші суми грошей. Інші зловмисники видавали себе за рекрутерів Coinbase та Uniswap, щоб змусити цілі виконувати шкідливі команди.

Ці кампанії приписують північнокорейським хакерам, хоча така тактика не є унікальною для цього угруповання. Російськомовна група Crazy Evil створила цілу фальшиву Web3-компанію під назвою ChainSeeker.io та рекламувала вакансії блокчейн-аналітиків, щоб заманювати кандидатів до встановлення шкідливого програмного забезпечення, яке спустошує гаманці.

Сінгапурські установи рекомендують посилити багатофакторну автентифікацію

Поліція Сінгапуру та Агентство кібербезпеки Сінгапуру порадили приватним особам перевіряти рекрутерів через офіційні канали, сприймати відмову співрозмовника ввімкнути камеру як тривожний сигнал і ніколи не запускати код із неперевіреного джерела.

Для компаній установи рекомендують захищати ключі API та внутрішні облікові дані, посилювати реалізацію багатофакторної автентифікації та відстежувати невідомі пристрої й незвичну мережеву активність. Якщо є підозра на компрометацію, установи радять негайно ізолювати постраждалі системи, відкликати всі активні сеанси, скинути облікові дані та перевірити журнали доступу, щоб визначити масштаб несанкціонованого доступу.

Поширені запитання

Який метод використали шахраї, щоб викрасти 11,8 мільйона доларів у сінгапурських шахрайських схемах із фальшивими вакансіями у криптовалютній сфері?

Шахраї видавали себе за рекрутерів криптовалютних компаній у LinkedIn, спрямовували жертв на виконання шкідливих тестових завдань із програмування на корпоративних пристроях і використовували викрадені токени сеансів для обходу багатофакторної автентифікації та доступу до облікових записів жертв у Bitbucket. Після цього зловмисники змінювали програмні системи роботодавців і збирали облікові дані для переказу коштів.

Які задокументовані хакерські кампанії використовують фальшиві пропозиції роботи для атак на криптовалютні компанії?

Дослідники відстежили операції Contagious Interview, у межах якої до реєстру npm було завантажено понад 300 шкідливих пакетів, і TraderTraitor, яка націлена на корпоративні хмарні системи. Російськомовна група Crazy Evil створила фальшиву Web3-компанію під назвою ChainSeeker.io для поширення шкідливого програмного забезпечення, що спустошує гаманці. Ці кампанії приписують північнокорейським і російськомовним хакерським угрупованням.

Які заходи запобігання рекомендували компаніям сінгапурські органи влади?

Поліція Сінгапуру та Агентство кібербезпеки Сінгапуру рекомендують захищати ключі API та внутрішні облікові дані, посилювати багатофакторну автентифікацію, відстежувати невідомі пристрої й незвичну мережеву активність, ізолювати постраждалі системи за підозри на компрометацію, відкликати активні сеанси, скидати облікові дані та перевіряти журнали доступу.