Golpistas que se fazem passar por recrutadores de empresas de criptomoedas roubaram US$ 11,8 milhões (S$ 15,1 milhões), usando ofertas de emprego falsas para comprometer os empregadores de seus alvos, de acordo com um comunicado conjunto da Força Policial de Singapura e da Agência de Segurança Cibernética de Singapura.

Detalhando como o golpe funciona em uma declaração na sexta-feira, conforme relatado pelo The Straits Times e Channel NewsAsia, as agências disseram que uma vítima foi abordada no LinkedIn por alguém que se passava por recrutador de uma empresa de cripto, e então a comunicação mudou para e-mail, onde o remetente usou um domínio falsificado muito semelhante ao de uma empresa real. Várias entrevistas se seguiram no Google Meet. O entrevistador manteve a câmera desligada durante todo o tempo.

A vítima foi então enviada para um site falsificado para completar uma avaliação técnica de codificação, e o fez em um dispositivo fornecido pela empresa, baixando software malicioso no processo sem perceber.

O malware capturou um token de sessão, a sequência que um serviço emite para manter um usuário logado. Como o token representa uma sessão já autenticada, apresentá-lo ignorou a autenticação multifator e abriu a conta Bitbucket da vítima, onde a empresa armazena e gerencia seu código-fonte.

A partir daí, os atacantes alteraram os sistemas de software do empregador e alcançaram seus servidores internos, disseram as agências, coletando credenciais que foram então usadas para contornar limites de transação e verificações de aprovação e mover fundos. O comunicado não nomeia nenhuma empresa, não diz para onde os fundos foram ou atribui os ataques a ninguém. A Decrypt contatou o LinkedIn para comentar e atualizará este artigo caso receba uma resposta.

Entrevistas Contagiosas

Esse padrão é bem documentado, com pesquisadores rastreando uma operação de longa data que eles chamam de Entrevista Contagiosa, na qual recrutadores falsos direcionam desenvolvedores Web3 para códigos maliciosos, incluindo mais de 300 pacotes com armadilhas carregados no registro npm. Um grupo conhecido como TraderTraitor usou ofertas de emprego falsas para alcançar sistemas corporativos em nuvem em vez de carteiras individuais, o que um pesquisador atribuiu ao fato de ser lá que o dinheiro está. Outros se fizeram passar por recrutadores da Coinbase e Uniswap para fazer com que os alvos executassem comandos.

Essas campanhas são atribuídas a hackers norte-coreanos, mas o roteiro não é exclusivamente deles. A equipe de língua russa Crazy Evil construiu uma empresa Web3 falsa inteira, ChainSeeker.io, e anunciou vagas de analista de blockchain para atrair candidatos a instalar malware que drena carteiras.

O conselho das agências de Singapura para indivíduos é verificar os recrutadores através de canais oficiais, tratar um entrevistador que não liga a câmera como um sinal de alerta e nunca executar código de uma fonte não verificada. Para as empresas, as agências recomendam proteger chaves de API e credenciais internas, fortalecer a autenticação multifator e ficar atento a dispositivos não familiares e atividades de rede incomuns. Onde uma violação é suspeita, eles aconselham isolar os sistemas afetados, revogar sessões ativas, redefinir credenciais e revisar os logs de acesso.