Einführung
Ein gefälschtes Stellenangebot im Bereich Kryptowährung, das ein dienstlich bereitgestelltes Gerät infizierte, führte zu Verlusten in Höhe von 11,8 Millionen US-Dollar, nachdem Angreifer Zugriff auf die Unternehmenssysteme erlangten und Transaktionskontrollen umgingen, so die Behörden in Singapur. Die Singapore Police Force (SPF) und die Cyber Security Agency of Singapore (CSA) gaben am 14. August bekannt, dass das Opfer zunächst über LinkedIn von einem Betrüger kontaktiert wurde, der sich als Recruiter eines mit Kryptowährungen verbundenen Unternehmens ausgab. Dies leitete einen Interviewprozess ein, der den Angreifern schließlich Zugang zum Arbeitgeber des Opfers verschaffte.
Der Angriff
Die Kommunikation verlagerte sich von LinkedIn auf E-Mail, wobei der vermeintliche Recruiter eine gefälschte Domain verwendete, die der Adresse des legitimen Unternehmens sehr ähnlich war. Das Opfer nahm an mehreren Interviews über Google Meet teil, obwohl die Person, die die Interviews führte, während der Anrufe ihre Kamera ausgeschaltet ließ. Im Verlauf des Rekrutierungsprozesses wurde das Opfer auf eine gefälschte Website geleitet und gebeten, eine technische Programmierprüfung auf einem dienstlich bereitgestellten Gerät abzulegen. Während dieser Prüfung wurde schadhafte Software heruntergeladen, ohne dass das Opfer bemerkte, dass das Gerät kompromittiert worden war. Nach der Installation erntete die Malware das Sitzungstoken des Opfers, so SPF und CSA.
Die Angreifer verwendeten dann das gestohlene Token, um die Multi-Faktor-Authentifizierung zu umgehen und Zugriff auf das Bitbucket-Konto des Opfers zu erhalten, das mit dem Code-Repository des Arbeitgebers verbunden war. Bitbucket ist ein Hosting-Service für Code-Repositories, der von Softwareentwicklungsteams genutzt wird, um Quellcode zu speichern, zu verwalten und gemeinsam daran zu arbeiten. Der Zugriff auf ein Mitarbeiterkonto kann daher mehr als nur das individuelle Gerät offenlegen, insbesondere wenn das Konto Berechtigungen hat, die mit Unternehmens-Repositories oder anderen Entwicklungssystemen verknüpft sind.
Folgen des Angriffs
Nachdem sie in das Bitbucket-Konto eingedrungen waren, änderten die Angreifer die automatisierten Softwarebereitstellungsanweisungen des Unternehmens, so die beiden Behörden. Der Eindringling bewegte sich dann in die interne Infrastruktur des Unternehmens, während die Angreifer remote auf dessen Server zugriffen. Die während der Kompromittierung gesammelten Anmeldedaten ermöglichten es den Angreifern, Transaktionslimits und Genehmigungsprüfungen zu umgehen, die zur Kontrolle von Kryptowährungsübertragungen verwendet werden. SPF und CSA gaben an, dass die Angreifer anschließend Krypto-Transaktionen durchführten, die zu Verlusten von insgesamt 11,8 Millionen US-Dollar führten.
Ähnliche Angriffe und Sicherheitsmaßnahmen
Die Verwendung einer Programmierprüfung als Methode zur Bereitstellung der Malware ähnelt Angriffen, die zuvor im Kryptowährungssektor dokumentiert wurden, bei denen Entwickler und anderes technisches Personal mit Stellenangeboten angesprochen werden, bevor sie gebeten werden, Code auszuführen oder Software zu installieren. Im Mai berichtete crypto.news über die TrapDoor-Malware, die Kryptowährungs- und KI-Entwickler durch schadhafte Softwarepakete ins Visier nahm. Die Sicherheitsplattform Socket fand mindestens 34 schadhafte Pakete und 384 verbundene Versionen in den npm-, PyPI- und Rust-Ökosystemen. Laut Socket waren die Pakete darauf ausgelegt, Informationen über Kryptowährungs-Wallets zusammen mit GitHub-Token, API-Schlüsseln, Cloud-Anmeldeinformationen und SSH-Zugriff zu stehlen.
Die Kampagne stellte die Entwicklerumgebungen an den Punkt der Kompromittierung, wodurch Angreifer Anmeldedaten ins Visier nehmen konnten, die Zugang zu Systemen außerhalb der persönlichen Kryptowährungs-Konten eines Opfers bieten könnten. Rekrutierungsbezogene Angriffe haben auch auf legitime Kommunikationsplattformen zurückgegriffen, um den ersten Kontakt glaubwürdig erscheinen zu lassen, bevor sie die Opfer in Richtung schadhafter Software lenkten. Eine Malware-Kampagne im April namens Obsidian nutzte LinkedIn und Telegram, um Fachleute aus den Bereichen Kryptowährung und Finanzen anzusprechen.
„Die Verwendung von Social Engineering-Techniken ist ein häufiges Muster in diesen Angriffen.“
Die Malware, die als PHANTOMPULSE identifiziert wurde, nutzte drei Blockchain-Netzwerke, um Befehle zu empfangen und Persistenz aufrechtzuerhalten, so Elastic Security Labs. Die Forscher empfahlen strenge Richtlinien auf Anwendungsebene für Plugins in Finanzunternehmen, um das Risiko zu verringern, dass legitime Produktivitätssoftware zu einem Einstiegspunkt für Angreifer wird.
Empfehlungen für Unternehmen und Einzelpersonen
SPF und CSA rieten Unternehmen und Einzelpersonen, insbesondere solchen, die im Technologie- und Kryptowährungsbereich tätig sind, die Identitäten von Recruitern und den Unternehmen, die sie angeblich vertreten, zu überprüfen, bevor sie mit jobbezogenen Dateien, Websites oder Software interagieren. Unternehmen wurde auch geraten, API-Schlüssel und interne Anmeldeinformationen zu schützen und die Multi-Faktor-Authentifizierung zu stärken. Besonders empfohlen wurde die Sicherung von Code-Repositories und Softwarebereitstellungspipelines, da der Zugriff auf diese Systeme eine Kompromittierung ermöglichen kann, die auf einem Mitarbeitergerät beginnt und die Unternehmensinfrastruktur erreicht.
Für Einzelpersonen empfahlen die Behörden, unaufgeforderte Rekrutierungsansprachen mit Vorsicht zu behandeln und sowohl den Recruiter als auch das beteiligte Unternehmen unabhängig zu überprüfen. Zusätzliche Überprüfungen wurden empfohlen, wenn ein Interviewprozess von den Kandidaten verlangt, Dateien herunterzuladen, unbekannten Code auszuführen oder Websites zu nutzen, die von Personen bereitgestellt werden, die sie nicht unabhängig verifiziert haben.
Für Unternehmen, die vermuten, dass ein Mitarbeitergerät oder internes System bereits kompromittiert wurde, rieten SPF und CSA, betroffene Geräte oder Systeme sofort zu isolieren. Aktive Sitzungen sollten widerrufen und Anmeldeinformationen zurückgesetzt werden, während Zugriffsprotokolle auf Anzeichen untersucht werden sollten, dass Angreifer in andere Konten oder die Unternehmensinfrastruktur eingedrungen sind.
