Furto di 11,8 milioni di dollari tramite un’offerta di lavoro falsa
Un’offerta di lavoro falsa nel settore delle criptovalute ha causato perdite di 11,8 milioni di dollari a un’azienda di Singapore. Gli attaccanti sono riusciti a ottenere accesso ai sistemi aziendali eludendo i controlli delle transazioni.
Il processo di truffa
Le autorità di Singapore, tra cui la Singapore Police Force e la Cyber Security Agency, hanno dichiarato il 14 agosto che la vittima è stata contattata per la prima volta su LinkedIn da un truffatore che si spacciava per un reclutatore di un’azienda legata alle criptovalute. Questo ha dato inizio a un processo di colloqui che ha fornito agli attaccanti accesso al datore di lavoro della vittima.
La comunicazione è passata da LinkedIn a email, dove il presunto reclutatore ha utilizzato un dominio contraffatto simile a quello dell’azienda legittima. La vittima ha partecipato a diversi colloqui tramite Google Meet, durante i quali la persona che conduceva i colloqui ha mantenuto la telecamera spenta.
Compromissione del dispositivo e accesso ai sistemi
Con il progredire del processo di reclutamento, alla vittima è stato inviato un sito web contraffatto e le è stato chiesto di completare una valutazione tecnica di codifica su un dispositivo aziendale. Durante questa valutazione, un software dannoso è stato scaricato senza che la vittima si rendesse conto che il dispositivo era stato compromesso.
Una volta installato, il malware ha raccolto il token di sessione della vittima, come riportato dalla SPF e dalla CSA. Gli attaccanti hanno quindi utilizzato il token rubato per eludere l’autenticazione a più fattori e ottenere accesso all’account Bitbucket della vittima, collegato al repository di codice del datore di lavoro.
“L’accesso a un account dipendente può esporre più di un singolo dispositivo, specialmente se l’account ha permessi collegati a repository aziendali o ad altri sistemi di sviluppo.”
Le conseguenze dell’intrusione
Dopo aver ottenuto accesso all’account Bitbucket, gli attaccanti hanno modificato le istruzioni di distribuzione automatica del software dell’azienda. L’intrusione si è estesa all’infrastruttura interna dell’azienda, mentre gli attaccanti accedevano da remoto ai suoi server. Le credenziali raccolte durante la compromissione hanno permesso agli attaccanti di eludere i limiti di transazione e i controlli di approvazione utilizzati per monitorare i trasferimenti di criptovalute.
SPF e CSA hanno dichiarato che gli attaccanti hanno successivamente effettuato transazioni in criptovaluta che hanno portato a perdite totali di 11,8 milioni di dollari.
Metodi di attacco e raccomandazioni
L’uso di una valutazione di codifica come metodo di consegna del malware è simile ad attacchi precedentemente documentati nel settore delle criptovalute. Gli attacchi a tema reclutamento si sono basati su piattaforme di comunicazione legittime per rendere il contatto iniziale credibile.
Le autorità hanno consigliato alle aziende e agli individui di verificare le identità dei reclutatori e delle aziende che affermano di rappresentare prima di interagire con file, siti web o software legati al lavoro. È stata specificamente raccomandata la protezione dei repository di codice e delle pipeline di distribuzione del software.
“Le agenzie hanno esortato le aziende a rivedere come vengono memorizzate e accessibili le credenziali sensibili.”
Per le aziende che sospettano che un dispositivo di un dipendente o un sistema interno sia già stato compromesso, è consigliato isolare immediatamente le attrezzature o i sistemi interessati e contattare i team di cybersecurity.
Conclusione
Le truffe di reclutamento precedenti hanno utilizzato passaggi simili con diversi metodi di consegna del malware. Le aziende devono rimanere vigili e adottare misure di sicurezza per proteggere le loro infrastrutture e i dati sensibili.
