Шахраї, що видавали себе за рекрутерів криптовалютних компаній, викрали $11,8 мільйона (15,1 мільйона сінгапурських доларів), використовуючи фальшиві пропозиції про роботу для компрометації роботодавців своїх цілей, згідно зі спільною заявою Поліції Сінгапуру та Агентства з кібербезпеки Сінгапуру.

Пояснюючи механізм шахрайства у п'ятничній заяві, про яку повідомили The Straits Times та Channel NewsAsia, агентства зазначили, що до жертви звернувся у LinkedIn хтось, хто видавав себе за рекрутера криптокомпанії, потім спілкування перейшло на електронну пошту, де відправник використовував підроблений домен, що дуже нагадував справжній. За цим послідували кілька співбесід у Google Meet. Співрозмовник тримав свою камеру вимкненою протягом усього часу.

Потім жертві було надіслано посилання на підроблений веб-сайт для проходження технічної оцінки кодування, і вона зробила це на виданому компанією пристрої, завантаживши при цьому шкідливе програмне забезпечення, не усвідомлюючи цього.

Шкідливе програмне забезпечення перехопило токен сесії – рядок, який сервіс видає для підтримки користувача в системі. Оскільки токен представляє вже автентифіковану сесію, його пред'явлення обійшло багатофакторну автентифікацію та відкрило обліковий запис Bitbucket жертви, де компанія зберігає та керує своїм вихідним кодом.

Звідти зловмисники змінили програмні системи роботодавця та отримали доступ до його внутрішніх серверів, повідомили агентства, зібравши облікові дані, які потім були використані для обходу лімітів транзакцій та перевірок затвердження, а також для переміщення коштів. У заяві не названо жодної компанії, не вказано, куди пішли кошти, і не приписано атаки нікому. Decrypt звернувся до LinkedIn за коментарем і оновить цю статтю, якщо вони дадуть відповідь.

Заразні співбесіди

Ця схема добре задокументована: дослідники відстежують тривалу операцію, яку вони називають "Заразні співбесіди" (Contagious Interview), в якій фейкові рекрутери направляють розробників Web3 до шкідливого коду, включаючи понад 300 пакунків з пастками, завантажених до реєстру npm. Група, відома як TraderTraitor, використовувала фальшиві пропозиції про роботу для доступу до корпоративних хмарних систем, а не до індивідуальних гаманців, що, на думку одного дослідника, пояснюється тим, що саме там знаходяться гроші. Інші видавали себе за рекрутерів з Coinbase та Uniswap, щоб змусити цілі виконувати команди.

Ці кампанії приписують північнокорейським хакерам, але ця тактика не є виключно їхньою. Російськомовна група Crazy Evil створила цілу фейкову Web3-компанію ChainSeeker.io та рекламувала вакансії аналітиків блокчейну, щоб заманити кандидатів до встановлення шкідливого програмного забезпечення, що спустошує гаманці.

Поради сінгапурських агентств для фізичних осіб полягають у перевірці рекрутерів через офіційні канали, розгляді співрозмовника, який не вмикає камеру, як попереджувальний знак, і ніколи не запускати код з неперевіреного джерела. Для компаній агентства рекомендують забезпечити безпеку ключів API та внутрішніх облікових даних, посилити багатофакторну автентифікацію та стежити за незнайомими пристроями та незвичайною мережевою активністю. У разі підозри на компрометацію вони радять ізолювати уражені системи, відкликати активні сесії, скинути облікові дані та переглянути журнали доступу.