Le autorità di polizia e di sicurezza informatica di Singapore hanno quantificato in 11,8 milioni di dollari (15,1 milioni di dollari di Singapore) le perdite causate da una campagna di truffe basata su false offerte di lavoro nel settore delle criptovalute e sulla compromissione di sistemi software aziendali — una frazione del più ampio problema delle truffe che affligge la città-Stato, che nel 2024 è costato alle vittime un record di 1,1 miliardi di dollari di Singapore tra tutti i tipi di truffa, secondo le cifre annuali della polizia.

In un avviso congiunto emanato venerdì dalla Singapore Police Force e dalla Cyber Security Agency of Singapore, e riportato da The Straits Times e Channel NewsAsia, le agenzie hanno dettagliato in che modo truffatori che si spacciavano per recruiter di società di criptovalute abbiano usato false offerte di lavoro per compromettere i datori di lavoro delle proprie vittime.

Secondo le agenzie, una vittima è stata inizialmente contattata su LinkedIn da qualcuno che si spacciava per un recruiter di una società di criptovalute — un'esca che si confonde facilmente su una piattaforma in cui i contatti non richiesti dei recruiter sono routine e il numero di iscritti supera il miliardo di account. La conversazione si è poi spostata sulla posta elettronica, dove il mittente utilizzava un dominio contraffatto molto simile a quello di un'azienda legittima. Sono seguiti diversi colloqui su Google Meet, durante i quali l'intervistatore ha sempre mantenuto la telecamera spenta.

La vittima è stata quindi indirizzata a un sito web contraffatto per completare una prova tecnica di programmazione — e lo ha fatto su un dispositivo aziendale, scaricando nel frattempo, senza accorgersene, un software dannoso.

Quel malware ha catturato un token di sessione, la stringa che un servizio emette per mantenere un utente connesso. Poiché il token rappresenta una sessione già autenticata, presentarlo ha permesso agli aggressori di aggirare l'autenticazione a più fattori e di aprire l'account Bitbucket della vittima, dove l'azienda conserva e gestisce il proprio codice sorgente. Il furto di token di questo tipo è una limitazione riconosciuta della MFA tradizionale, poiché una sessione dirottata non genera mai una nuova richiesta di accesso — uno dei motivi per cui gli esperti di sicurezza hanno spinto verso approcci resistenti al phishing come le chiavi di sicurezza hardware.

Da lì, secondo le agenzie, gli aggressori hanno alterato i sistemi software del datore di lavoro e raggiunto i suoi server interni, raccogliendo credenziali poi utilizzate per aggirare i limiti di transazione e i controlli di approvazione e trasferire fondi.

L'avviso non indica il nome di alcuna azienda colpita, non dice dove siano finiti i fondi e non attribuisce gli attacchi a nessuno. Decrypt ha contattato LinkedIn per un commento e aggiornerà questo articolo qualora l'azienda risponda.

Un playbook ben documentato

La modalità è ben documentata. I ricercatori hanno monitorato un'operazione di lunga data che hanno chiamato Contagious Interview, in cui finti recruiter indirizzano gli sviluppatori Web3 verso codice dannoso, tra cui più di 300 pacchetti trappola caricati nel registro npm.

Un gruppo noto come TraderTraitor ha usato false offerte di lavoro per arrivare ai sistemi cloud aziendali anziché ai singoli portafogli — un approccio che un ricercatore ha attribuito al fatto che è lì che si trovano i soldi. Altri si sono spacciati per recruiter di Coinbase e Uniswap per indurre gli obiettivi a eseguire comandi.

Quelle campagne sono attribuite a hacker nordcoreani, ma il playbook non è esclusivamente loro. Il gruppo di lingua russa Crazy Evil ha costruito un'intera falsa azienda Web3, ChainSeeker.io, e ha pubblicizzato posizioni di analista blockchain per attirare candidati e indurli a installare malware in grado di svuotare i portafogli.

Indicazioni ufficiali

Le agenzie di Singapore hanno consigliato ai singoli di verificare i recruiter attraverso i canali ufficiali, di considerare un segnale d'allarme un intervistatore che non accende la telecamera e di non eseguire mai codice proveniente da una fonte non verificata.

Alle aziende, le agenzie raccomandano di proteggere le chiavi API e le credenziali interne, di rafforzare l'autenticazione a più fattori e di vigilare su dispositivi sconosciuti e attività di rete insolite.

Qualora si sospetti una compromissione, consigliano di isolare i sistemi interessati, revocare le sessioni attive, reimpostare le credenziali ed esaminare i registri di accesso.