Des escrocs se faisant passer pour des recruteurs d'entreprises de cryptomonnaies ont dérobé 11,8 millions de dollars (15,1 millions de dollars singapouriens), en utilisant de fausses offres d'emploi pour compromettre les employeurs de leurs cibles, selon un avis conjoint de la Force de police de Singapour et de l'Agence de cybersécurité de Singapour.

Décrivant le fonctionnement de l'arnaque dans un communiqué publié vendredi, rapporté par The Straits Times et Channel NewsAsia, les agences ont déclaré qu'une victime avait été approchée sur LinkedIn par quelqu'un se faisant passer pour un recruteur d'une entreprise crypto, puis avait été redirigée vers un e-mail où l'expéditeur utilisait un domaine contrefait ressemblant fortement à celui d'une vraie entreprise. Plusieurs entretiens ont suivi sur Google Meet. L'interviewer a gardé sa caméra éteinte tout le long.

La victime a ensuite été envoyée vers un site web contrefait pour compléter une évaluation technique de codage, et l'a fait sur un appareil fourni par l'entreprise, téléchargeant un logiciel malveillant dans le processus sans s'en rendre compte.

Le logiciel malveillant a capturé un jeton de session, la chaîne qu'un service émet pour maintenir un utilisateur connecté. Parce que le jeton représente une session déjà authentifiée, sa présentation a permis de contourner l'authentification multifacteur et d'ouvrir le compte Bitbucket de la victime, où l'entreprise stocke et gère son code source.

De là, les attaquants ont altéré les systèmes logiciels de l'employeur et ont atteint ses serveurs internes, ont déclaré les agences, collectant des identifiants qui ont ensuite été utilisés pour contourner les limites de transaction et les contrôles d'approbation et déplacer des fonds. L'avis ne nomme aucune entreprise, ne dit pas où les fonds sont allés, ni n'attribue les attaques à qui que ce soit. Decrypt a contacté LinkedIn pour commentaire et mettra à jour cet article en cas de réponse.

Entretiens Contagieux

Ce schéma est bien documenté, les chercheurs ayant suivi une opération de longue date qu'ils appellent "Contagious Interview", où de faux recruteurs dirigent les développeurs Web3 vers du code malveillant, y compris plus de 300 paquets piégés téléchargés sur le registre npm. Un groupe connu sous le nom de TraderTraitor a utilisé de fausses offres d'emploi pour atteindre les systèmes cloud d'entreprise plutôt que les portefeuilles individuels, ce qu'un chercheur a attribué au fait que c'est là que se trouve l'argent. D'autres se sont fait passer pour des recruteurs de Coinbase et Uniswap pour inciter les cibles à exécuter des commandes.

Ces campagnes sont attribuées à des hackers nord-coréens, mais le mode opératoire ne leur est pas propre. L'équipe russophone Crazy Evil a créé une fausse entreprise Web3 entière, ChainSeeker.io, et a annoncé des postes d'analyste blockchain pour attirer les candidats à installer des logiciels malveillants de vidange de portefeuille.

Les agences de Singapour conseillent aux particuliers de vérifier les recruteurs par les canaux officiels, de considérer un intervieweur qui n'allume pas sa caméra comme un signe d'avertissement et de ne jamais exécuter de code provenant d'une source non vérifiée. Pour les entreprises, les agences recommandent de sécuriser les clés API et les identifiants internes, de renforcer l'authentification multifacteur et de surveiller les appareils inconnus et les activités réseau inhabituelles. En cas de suspicion de compromission, elles conseillent d'isoler les systèmes affectés, de révoquer les sessions actives, de réinitialiser les identifiants et de vérifier les journaux d'accès.