Die Strafverfolgungs- und Cybersicherheitsbehörden Singapurs beziffern die Verluste durch eine Betrugskampagne, die auf gefälschten Krypto-Stellenangeboten und kompromittierten Unternehmenssoftwaresystemen beruhte, auf 11,8 Millionen US-Dollar (15,1 Millionen Singapur-Dollar) – nur ein Bruchteil des umfassenderen Betrugsproblems des Stadtstaats, das den Opfern im Jahr 2024 laut polizeilichen Jahresstatistiken über alle Betrugsarten hinweg einen Rekordbetrag von 1,1 Milliarden Singapur-Dollar kostete.

In einer am Freitag herausgegebenen gemeinsamen Warnung der Singapore Police Force und der Cyber Security Agency of Singapore, über die The Straits Times und Channel NewsAsia berichteten, schilderten die Behörden im Detail, wie Betrüger, die sich als Personalvermittler von Kryptounternehmen ausgaben, mit fingierten Stellenangeboten die Arbeitgeber ihrer Zielpersonen kompromittierten.

Den Behörden zufolge wurde ein Opfer zunächst auf LinkedIn von einer Person kontaktiert, die sich als Personalvermittler eines Kryptounternehmens ausgab – ein Köder, der auf einer Plattform kaum auffällt, auf der unaufgeforderte Kontaktaufnahmen durch Personalvermittler üblich sind und die Mitgliedschaft mehr als eine Milliarde Konten umfasst. Das Gespräch wurde anschließend per E-Mail weitergeführt, wobei der Absender eine gefälschte Domain nutzte, die der eines seriösen Unternehmens stark ähnelte. Es folgten mehrere Interviews über Google Meet, wobei der Interviewer seine Kamera durchgehend ausgeschaltet ließ.

Anschließend wurde das Opfer auf eine gefälschte Website geleitet, um dort einen technischen Programmier-Test zu absolvieren – und tat dies auf einem vom Unternehmen bereitgestellten Gerät, wobei es unwissentlich bösartige Software herunterlud.

Diese Malware erbeutete ein Sitzungstoken – eine Zeichenfolge, die ein Dienst ausgibt, um einen Nutzer angemeldet zu halten. Da das Token eine bereits authentifizierte Sitzung darstellt, ermöglichte dessen Vorlage den Angreifern, die Multi-Faktor-Authentifizierung zu umgehen und das Bitbucket-Konto des Opfers zu öffnen, in dem das Unternehmen seinen Quellcode speichert und verwaltet. Der Diebstahl solcher Token ist eine bekannte Schwäche der herkömmlichen MFA, da eine übernommene Sitzung nie eine erneute Login-Abfrage auslöst – ein Grund, warum Sicherheitsexperten phishingresistente Ansätze wie hardwarebasierte Sicherheitsschlüssel vorangetrieben haben.

Von dort aus veränderten die Angreifer laut den Behörden die Softwaresysteme des Arbeitgebers und gelangten auf dessen interne Server, wo sie Zugangsdaten sammelten, mit denen anschließend Transaktionslimits und Freigabeprüfungen umgangen und Gelder verschoben wurden.

In der Warnung wird weder ein betroffenes Unternehmen genannt noch angegeben, wohin die Gelder flossen, noch werden die Angriffe einem Urheber zugeschrieben. Decrypt hat LinkedIn um eine Stellungnahme gebeten und wird diesen Artikel aktualisieren, sollte das Unternehmen antworten.

Ein gut dokumentiertes Vorgehen

Dieses Muster ist gut dokumentiert. Forscher verfolgen eine langlaufende Operation, die sie Contagious Interview nennen und bei der falsche Personalvermittler Web3-Entwickler zu bösartigem Code lotsen – darunter mehr als 300 präparierte Pakete, die in die npm-Registry hochgeladen wurden.

Eine als TraderTraitor bekannte Gruppe nutzte fingierte Stellenangebote, um statt einzelner Wallets auf Cloud-Systeme von Unternehmen zuzugreifen – ein Vorgehen, das ein Forscher damit erklärte, dass dort das Geld liege. Andere gaben sich als Personalvermittler von Coinbase und Uniswap aus, um ihre Ziele zur Ausführung von Befehlen zu bewegen.

Diese Kampagnen werden nordkoreanischen Hackern zugeschrieben, doch das Vorgehen ist nicht allein deren. Die russischsprachige Gruppe Crazy Evil baute ein vollständig fingiertes Web3-Unternehmen, ChainSeeker.io, auf und schaltete Stellenanzeigen für Blockchain-Analysten, um Bewerber dazu zu verleiten, Malware zu installieren, die ihre Wallets leerräumt.

Offizielle Empfehlungen

Die Behörden Singapurs empfahlen Einzelpersonen, Personalvermittler über offizielle Kanäle zu verifizieren, einen Interviewer, der die Kamera nicht einschaltet, als Warnsignal zu werten und niemals Code aus einer unverifizierten Quelle auszuführen.

Unternehmen wird empfohlen, API-Schlüssel und interne Zugangsdaten zu sichern, die Multi-Faktor-Authentifizierung zu stärken sowie auf unbekannte Geräte und ungewöhnliche Netzwerkaktivitäten zu achten.

Bei Verdacht auf eine Kompromittierung raten die Behörden dazu, betroffene Systeme zu isolieren, aktive Sitzungen zu widerrufen, Zugangsdaten zurückzusetzen und Zugriffsprotokolle zu überprüfen.