Северокорейские хакеры, специализирующиеся на криптовалютах, обманом заставили инженера-программиста Binance загрузить вредоносное ПО на выданный компанией рабочий компьютер в рамках фальшивого процесса собеседования перед рекордным ограблением на сумму 6,3 миллиарда долларов, произошедшим на прошлой неделе.
В отчете об инциденте, опубликованном во вторник, криптовалютная биржа сообщила, что к инциденту безопасности от 29 октября привели несколько методов, включая социальную инженерию с использованием фальшивых собеседований, загрузку вредоносного ПО, компрометацию внутренних инструментов искусственного интеллекта, захват конечных точек и «продвинутый метод авторизации транзакций».
«Наше текущее расследование показывает, что это была сложная многоэтапная кампания, — говорится в отчете об инциденте. — Это не был единичный изолированный взлом или простой фишинговый инцидент».
На выходных ФБР приписало кражу хакерской группе TraderTraitor из Северной Кореи, связанной с Lazarus Group, известной сочетанием шпионажа с масштабными кражами криптовалют. Эта группа, поддерживаемая Пхеньяном, также очень искусна в мошенничестве на рынке труда — как выдавая себя за IT-специалистов, которых затем нанимают западные компании, так и потенциальных работодателей, чтобы заманить инженеров-программистов на загрузку вредоносного ПО и заражение корпоративных устройств.
В случае с недавней атакой на Binance северокорейцы использовали последний метод.
Подготовка к атаке началась еще в июне с атаки на цепочку поставок, когда один из инженеров загрузил вредоносную установку Homebrew. Хотя вредоносное ПО было обнаружено командой безопасности, устройство было заменено, а все затронутые учетные данные сменены. «Роль инженера А и его коллег из нашей команды инфраструктуры кошельков оказалась под угрозой для хакера», — говорится в отчете.
Три месяца спустя произошла часть атаки, связанная с социальной инженерией.
В сентябре с другим инженером-программистом связался через «легитимную платформу для поиска работы» человек, выдававший себя за директора проекта, который организовал серию собеседований для инженера Binance с фальшивой компанией. Во время первого раунда — видеоинтервью в реальном времени с инженером и фальшивым представителем отдела кадров — интервьюер «поделился с ним аккаунтом в социальной сети, включая личные фотографии и видео, опубликованные на платформе, чтобы завоевать доверие», согласно отчету. «Это было более продвинуто и обманчиво, чем ранее наблюдавшиеся подходы социальной инженерии».
Второе собеседование с человеком, выдававшим себя за генерального директора фиктивной компании, проводилось в «популярном приложении для общения», и ближе к концу генеральный директор поручил инженеру загрузить «задание», содержащее репозиторий кода с вредоносным ПО. Код выполнился на его рабочем компьютере во время процесса настройки, что положило начало ряду несанкционированных действий.
По данным Binance, вредоносное ПО заменило компонент легитимного инструмента разработки вредоносной версией, которая выполняла команды и устанавливала связь с внешним сервером, контролируемым злоумышленниками. Злоумышленники также предприняли шаги для сокрытия вредоносного скрипта и уклонения от обнаружения, и это сработало. Инструменты безопасности конечных точек Binance не сразу обнаружили вредоносное ПО.
Вот скрипт:
CREATE /opt/homebrew/Cellar/pyenv/2.8.0/libexec/pyenv_
MODIFY pyenv_ → 3,414 B
DELETE …/libexec/pyenv (3,344 B) ← удалить действительный pyenv
RENAME pyenv_ → pyenv (3,414 B) ← заменить его вредоносной версией
DELETE /opt/homebrew/bin/pyenv (3,414 B)
ln (создать новую символическую ссылку) + spawn zsh
Затем, 20 октября, злоумышленники использовали скомпрометированный компьютер и внутренний инструмент ИИ для получения доступа к компьютерам инженера DevOps кошельков А и другого инженера-программиста кошельков, инженера С.
У инженера А на компьютере был токен разрешения на развертывание контейнеров, который северокорейцы вскоре обнаружили. 29 октября злоумышленник получил доступ к компьютеру инженера С, использовал украденные учетные данные инженера А для развертывания контейнера и запустил скрипт для начала атаки по краже криптовалюты.
По состоянию на вторник Binance заявила, что восстановила скомпрометированную систему кошельков и внутренний инструмент ИИ, а также заменила все затронутые устройства. Также были отозваны все учетные данные и токены, выданные скомпрометированным инженерам, и ведется работа с правоохранительными органами, фирмами по анализу блокчейна и исследователями безопасности для отслеживания и замораживания активов.
Криптовалютная биржа также наняла независимых экспертов по кибербезопасности для проведения обзора инцидента и рекомендации дополнительных мер защиты. Binance заявила, что также работает над созданием фонда исследований безопасности и инициатив с компаниями, занимающимися ИИ, и фирмами по безопасности для фокусировки на безопасности ИИ в средах блокчейна.®
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Jessica Lyons
