Мошенники украли криптоактивы на $11,8 млн через фальшивое предложение работы

Неизвестные злоумышленники похитили $11,8 млн в криптовалюте, получив доступ к корпоративным системам одной сингапурской компании через ее сотрудника-айтишника. Схема похищения стартовала с фальшивого предложения о работе, и закончилась обходом механизмов контроля транзакций, по информации Агентства по кибербезопасности Сингапура (CSA).

Первый контакт с жертвой произошел на платформе LinkedIn, где неизвестный представился рекрутером из компании, связанной с криптовалютами, и предложил работу. Затем общение продолжилось по электронной почте, где злоумышленники использовали поддельный домен, практически неотличимый от адреса настоящей компании, которая якобы искала сотрудников. Жертву пригласили на несколько онлайн-собеседований через Google Meet, однако фальшивый рекрутер всегда держал камеру выключенной, что настораживало.

На одном из этапов отбора жертве прислали ссылку на поддельный сайт и попросили пройти техническое тестирование по написанию кода на корпоративном устройстве. В то время, когда соискатель выполнял задание, на его компьютер незаметно загрузилось вредоносное программное обеспечение.

После установки этого ПО злоумышленники смогли похитить токен сессии сотрудника — временный цифровой ключ, подтверждающий авторизацию в системе. С помощью этого токена хакеры обошли многофакторную аутентификацию и получили доступ к учетной записи жертвы в Bitbucket — сервисе для совместной работы с исходным кодом, который часто имеет права на взаимодействие с внутренними системами компаний.

Далее атакующие изменили инструкции автоматического развертывания ПО, что позволило им проникнуть во внутреннюю инфраструктуру компании и удаленно получить доступ к серверам. Используя украденные учетные данные, они обошли лимиты на транзакции и проверки согласований, необходимые для контроля переводов криптовалюты, и вывели цифровые активы с баланса компании.

Мошенничество с наймом на работу стало популярным среди северокорейских хакеров, сообщала ранее специалист по безопасности MetaMask Тейлор Монахан. Фейковые айтишники уже как минимум семь лет внедряются в криптокомпании и проекты децентрализованных финансов (DeFi) с целью взлома платформ. Группировка Lazarus привлекает к такой деятельности и граждан других стран.