Фальшива пропозиція роботи у сфері криптовалют, яка інфікувала пристрій, виданий компанією, призвела до втрат у розмірі 11,8 мільйона доларів США після того, як зловмисники отримали доступ до корпоративних систем та обійшли механізми контролю транзакцій, заявили влада Сінгапуру.
Поліція Сінгапуру та Агентство кібербезпеки Сінгапуру заявили 14 серпня, що зловмисник, видаючи себе за рекрутера компанії, пов’язаної з криптовалютами, вперше зв'язався з жертвою на LinkedIn, розпочавши процес співбесіди, який зрештою надав зловмисникам доступ до роботодавця жертви.
Спілкування перейшло з LinkedIn на електронну пошту, де ймовірний рекрутер використовував підроблений домен, який дуже нагадував адресу легітимної компанії. Жертва також пройшла кілька співбесід через Google Meet, хоча особа, яка проводила співбесіди, тримала свою камеру вимкненою під час дзвінків.
У міру просування процесу найму жертві надіслали посилання на підроблений вебсайт і попросили пройти технічне завдання з кодування на корпоративному пристрої. Під час оцінювання було завантажено шкідливе програмне забезпечення, і жертва не усвідомлювала, що пристрій було скомпрометовано.
Після встановлення шкідливе програмне забезпечення зібрало маркер сесії жертви, заявили SPF та CSA. Потім зловмисники використали викрадений маркер, щоб обійти багатофакторну аутентифікацію та отримати доступ до облікового запису Bitbucket жертви, який був підключений до репозиторію коду роботодавця.
Bitbucket — це хостинговий сервіс для репозиторіїв коду, який використовується командами розробників програмного забезпечення для зберігання, керування та спільної роботи над вихідним кодом. Доступ до облікового запису співробітника, таким чином, може скомпрометувати більше, ніж просто окремий пристрій, якщо обліковий запис має дозволи, пов'язані з репозиторіями компанії або іншими системами розробки.
Після входу до облікового запису Bitbucket зловмисники змінили інструкції автоматизованого розгортання програмного забезпечення компанії, за даними двох агентств. Потім вторгнення перемістилося у внутрішню інфраструктуру компанії, оскільки зловмисники віддалено отримали доступ до її серверів.
Облікові дані, зібрані під час компрометації, дозволили зловмисникам обійти ліміти транзакцій та перевірки схвалення, які використовуються для контролю переказів криптовалют. SPF та CSA заявили, що зловмисники згодом здійснили криптотранзакції, що призвело до втрат на загальну суму 11,8 мільйона доларів США.
Використання технічного завдання з кодування як методу доставки шкідливого програмного забезпечення нагадує атаки, раніше задокументовані в криптовалютному секторі, де до розробників та іншого технічного персоналу звертаються з пропозиціями роботи, перш ніж попросити запустити код або встановити програмне забезпечення.
У травні crypto.news повідомило про шкідливе програмне забезпечення TrapDoor, яке націлювалося на розробників криптовалют та штучного інтелекту через шкідливі програмні пакети. Платформа безпеки для розробників Socket виявила щонайменше 34 шкідливих пакети та 384 пов'язані версії в екосистемах npm, PyPI та Rust.
За даними Socket, пакети були розроблені для викрадення інформації про криптовалютні гаманці разом з токенами GitHub, ключами API, хмарними обліковими даними та доступом SSH. Кампанія зробила середовища розробників точкою компрометації, дозволяючи зловмисникам націлюватися на облікові дані, які могли б надати доступ до систем за межами особистих криптовалютних рахунків жертви.
Атаки на тему найму також покладалися на легітимні комунікаційні платформи, щоб зробити початковий контакт правдоподібним, перш ніж направити жертв до шкідливого програмного забезпечення.
Квітнева кампанія шкідливого програмного забезпечення Obsidian використовувала LinkedIn та Telegram для звернення до фахівців з криптовалют та фінансів. Elastic Security Labs виявила, що зловмисники покладалися на соціальну інженерію, щоб переконати цілі встановити шкідливі плагіни спільноти для легітимної програми для ведення нотаток Obsidian.
Шкідливе програмне забезпечення, ідентифіковане як PHANTOMPULSE, використовувало три блокчейн-мережі для отримання команд та підтримки стійкості, згідно з Elastic Security Labs. Дослідники рекомендували жорстку політику плагінів на рівні додатків у фінансових компаніях, щоб зменшити ризик перетворення легітимного програмного забезпечення для підвищення продуктивності в точку входу для зловмисників.
Того ж місяця постачальник гаманців Zerion підтвердив порушення безпеки на 100 000 доларів, пов'язане з тривалою операцією соціальної інженерії, пов'язаною з північнокорейськими зловмисниками. Порушення безпеки Zerion передбачало використання зловмисниками штучного інтелекту для видавання себе за довірених контактів перед компрометацією облікових даних гаманців гарячого зберігання (hot-wallet).
Дослідники Security Alliance пов'язали цю кампанію зі 164 шкідливими доменами, використаними в спробах проникнення в криптовалютні компанії через такі сервіси, як Slack та LinkedIn. Zerion заявив, що зловмисники націлилися на людський аспект його операцій, а не на пряме зламування базової технології гаманців.
SPF та CSA не приписали останню втрату у 11,8 мільйона доларів США Північній Кореї чи будь-якій іншій хакерській групі.
Однак соціальна інженерія, заснована на рекрутингу, раніше використовувалася північнокорейськими зловмисниками проти криптовалютних компаній. Google Cloud та Wiz повідомили у 2025 році, що UNC4899, також відомий як TraderTraitor, звертався до співробітників криптокомпаній через LinkedIn та Telegram, видаючи себе за рекрутерів.
У випадках, пов'язаних із підходами до віддаленої роботи, співробітників переконували виконати шкідливі контейнери Docker на своїх робочих станціях. Контейнери розгортали завантажувачі та бекдори, підключені до контрольованої зловмисниками інфраструктури, після чого група переміщалася внутрішніми мережами, збирала облікові дані та шукала системи, що використовуються для обробки криптовалютних транзакцій.
Google заявив, що один інцидент дозволив UNC4899 відключити багатофакторну аутентифікацію в привілейованому обліковому записі Google Cloud та отримати доступ до послуг, пов'язаних з гаманцями. Група активна щонайменше з 2020 року і сильно зосереджена на криптовалютних та блокчейн-компаніях, згідно з дослідженнями загроз компанії.
Після останнього інциденту SPF та CSA порадили підприємствам та приватним особам, особливо тим, хто працює в галузі технологій та криптовалют, перевіряти особистість рекрутерів та компаній, які вони представляють, перш ніж взаємодіяти з файлами, вебсайтами чи програмним забезпеченням, пов'язаними з роботою.
Компаніям також було рекомендовано захищати ключі інтерфейсу прикладного програмування (API) та внутрішні облікові дані, одночасно посилюючи багатофакторну аутентифікацію. Особливо було рекомендовано захист репозиторіїв коду та конвеєрів розгортання програмного забезпечення, оскільки доступ до цих систем може дозволити компрометацію, яка починається з одного пристрою співробітника, дістатися до інфраструктури компанії.
Агентства також закликали підприємства переглянути, як зберігаються та використовуються конфіденційні облікові дані. В останньому випадку облікові дані, зібрані після початкової компрометації, були використані для обходу лімітів транзакцій та перевірок схвалення, що дозволило зловмисникам здійснювати перекази криптовалют.
Доступ розробників залишається повторюваною ціллю, оскільки репозиторії програмного забезпечення та пов'язані інструменти можуть містити облікові дані або надавати шляхи до хмарних та виробничих систем. Кампанія TrapDoor, виявлена в травні, наприклад, націлювалася на токени GitHub, ключі SSH та хмарні облікові дані разом з даними криптовалютних гаманців, надаючи зловмисникам кілька типів доступу з одного інфікованого середовища розробника.
Раніше шахрайства рекрутерів використовували схожі кроки з різними методами доставки шкідливого програмного забезпечення. У грудні 2024 року фальшива кампанія співбесід зверталася до професіоналів Web3 через LinkedIn, Telegram та фріланс-платформи з привабливими пропозиціями роботи.
Цілі направлялися до служби відеоінтерв'ю та отримували звичайні галузеві запитання, перш ніж перейти до фінального відеозавдання. Коли жертви стикалися з передбачуваною проблемою мікрофона або камери, їм показували інструкції з усунення несправностей, які вимагали від них виконання команд на своїх комп'ютерах.
Ончейн-дослідниця Тейлор Монахан заявила тоді, що виконання команд може надати зловмисникам загальний доступ до пристрою, створюючи можливості для крадіжки конфіденційної інформації, моніторингу активності або компрометації криптовалютних гаманців.
Для підприємств, які підозрюють, що пристрій співробітника або внутрішня система вже були скомпрометовані, SPF та CSA порадили негайно ізолювати уражене обладнання або системи.
Активні сесії слід відкликати, а облікові дані скинути, тоді як журнали доступу слід перевірити на наявність ознак того, що зловмисники увійшли до інших облікових записів або інфраструктури компанії. Влада також порадила підприємствам перевірити, чи були змінені репозиторії коду, внутрішні сервери, облікові записи або робочі процеси затвердження під час компрометації.
Згідно з даними агентств, внутрішні команди кібербезпеки або зовнішні постачальники послуг безпеки повинні бути негайно залучені. Слідчі повинні визначити, які облікові записи та облікові дані були розкриті, та встановити, чи були внесені несанкціоновані зміни після початкового вторгнення.
Особам агентства рекомендували обережно ставитися до небажаних пропозицій щодо працевлаштування та самостійно перевіряти як рекрутера, так і компанію. Особлива увага рекомендувалася, якщо процес співбесіди вимагає від кандидатів завантажувати файли, запускати незнайомий код або використовувати вебсайти, надані особами, яких вони самостійно не перевірили.
Компаніям окремо було рекомендовано переглянути доступ до ключів API та інших внутрішніх облікових даних, посилити засоби контролю багатофакторної аутентифікації та захистити інфраструктуру розробки, включаючи репозиторії та автоматизовані конвеєри розгортання.
BTC
