Singapurskie organy ścigania i ds. cyberbezpieczeństwa oszacowały straty z kampanii oszustw opartej na fałszywych ofertach pracy w branży kryptowalut oraz przejętych systemach oprogramowania firmowego na 11,8 miliona dolarów (15,1 miliona dolarów singapurskich) — ułamek szerszego problemu oszustw w tym mieście-państwie, które w 2024 roku kosztowały ofiary rekordowe 1,1 miliarda dolarów singapurskich we wszystkich rodzajach oszustw, zgodnie z rocznymi danymi policji.

We wspólnym komunikacie wydanym w piątek przez Singapurską Policję i Agencję Cyberbezpieczeństwa Singapuru, opisanym przez The Straits Times i Channel NewsAsia, agencje szczegółowo przedstawiły, w jaki sposób oszuści podszywający się pod rekruterów firm kryptowalutowych wykorzystywali fałszywe oferty pracy, aby zaatakować pracodawców swoich celów.

Zgodnie z relacją agencji, osoba podszywająca się pod rekrutera firmy kryptowalutowej najpierw skontaktowała się z ofiarą na LinkedIn — przynęta, która nie rzuca się w oczy na platformie, na której niezamówione wiadomości od rekruterów są codziennością, a liczba użytkowników przekracza miliard kont. Rozmowa przeniosła się następnie do poczty e-mail, gdzie nadawca posługiwał się sfałszowaną domeną silnie przypominającą domenę legalnej firmy. Potem odbyło się kilka rozmów kwalifikacyjnych na Google Meet, przy czym przeprowadzający rozmowę przez cały czas miał wyłączoną kamerę.

Następnie ofiarę skierowano na sfingowaną stronę internetową, aby wykonała techniczne zadanie programistyczne — co uczyniła na urządzeniu firmowym, nieświadomie pobierając w jego trakcie złośliwe oprogramowanie.

Złośliwe oprogramowanie przechwyciło token sesji — ciąg znaków wystawiany przez usługę w celu utrzymania użytkownika w stanie zalogowania. Ponieważ token reprezentuje sesję już uwierzytelnioną, jego przedstawienie pozwoliło atakującym ominąć uwierzytelnianie wieloskładnikowe i otworzyć konto Bitbucket ofiary, w którym firma przechowuje i zarządza swoim kodem źródłowym. Kradzież tokenów tego rodzaju to znane ograniczenie konwencjonalnego MFA, ponieważ przejęta sesja nigdy nie uruchamia nowego wyzwania logowania — jeden z powodów, dla których specjaliści ds. bezpieczeństwa promują metody odporne na phishing, takie jak sprzętowe klucze bezpieczeństwa.

Stamtąd — jak podają agencje — atakujący zmodyfikowali systemy oprogramowania pracodawcy i dotarli do jego serwerów wewnętrznych, gromadząc poświadczenia, których następnie użyto do obejścia limitów transakcyjnych i kontroli zatwierdzeń oraz do przeniesienia środków.

Komunikat nie wymienia żadnej dotkniętej firmy, nie podaje, dokąd trafiły środki, ani nie przypisuje ataków żadnemu podmiotowi. Decrypt zwrócił się do LinkedIn o komentarz i zaktualizuje ten artykuł, jeśli firma odpowie.

Dobrze udokumentowany schemat działania

Ten schemat jest dobrze udokumentowany. Badacze śledzą długotrwałą operację zwaną Contagious Interview, w ramach której fałszywi rekruterzy kierują programistów Web3 ku złośliwemu kodowi, w tym ponad 300 pakietów-pułapek przesłanych do rejestru npm.

Grupa znana jako TraderTraitor wykorzystywała fałszywe oferty pracy, aby docierać do firmowych systemów chmurowych, a nie do portfeli indywidualnych — co jeden z badaczy tłumaczył tym, że właśnie tam ulokowane są pieniądze. Inni podszywali się pod rekruterów z Coinbase i Uniswap, aby skłonić cele do uruchamiania poleceń.

Te kampanie przypisuje się hakerom z Korei Północnej, ale ten schemat nie jest ich wyłączną domeną. Rosyjskojęzyczna grupa Crazy Evil zbudowała całą fałszywą firmę Web3, ChainSeeker.io, i ogłaszała nabór na stanowiska analityków blockchain, aby zwabić kandydatów do zainstalowania złośliwego oprogramowania opróżniającego portfele.

Oficjalne zalecenia

Singapurskie agencje zaleciły osobom prywatnym weryfikowanie rekruterów poprzez oficjalne kanały, traktowanie rozmówcy kwalifikacyjnego, który nie chce włączyć kamery, jako sygnału ostrzegawczego oraz nieuruchamianie kodu pochodzącego z niezweryfikowanego źródła.

Firmom agencje zalecają zabezpieczenie kluczy API i wewnętrznych poświadczeń, wzmocnienie uwierzytelniania wieloskładnikowego oraz czujność wobec nieznanych urządzeń i nietypowej aktywności sieciowej.

W przypadku podejrzenia naruszenia bezpieczeństwa zalecają odizolowanie dotkniętych systemów, unieważnienie aktywnych sesji, zresetowanie poświadczeń oraz przegląd dzienników dostępu.