En bref
- La police et l'agence de cybersécurité de Singapour estiment à 11,8 millions de dollars les pertes dues à une arnaque utilisant de fausses offres d'emploi et des systèmes logiciels compromis.
- Ils décrivent un cas où une victime a été contactée par un faux recruteur pour une entreprise de crypto et orientée vers une évaluation de codage effectuée sur un ordinateur portable de l'entreprise.
- Le logiciel malveillant a récupéré un jeton de session, qui a été utilisé pour contourner l'authentification multifacteur et ouvrir le compte Bitbucket de la victime.
Des escrocs se faisant passer pour des recruteurs d'entreprises de cryptomonnaies ont soutiré 11,8 millions de dollars (15,1 millions de dollars singapouriens), en utilisant de fausses offres d'emploi pour compromettre les employeurs de leurs cibles, selon un avis conjoint de la police de Singapour et de l'Agence de cybersécurité de Singapour.
Décrivant le fonctionnement de l'arnaque dans un communiqué vendredi, rapporté par The Straits Times et Channel NewsAsia, les agences ont déclaré qu'une victime avait été contactée sur LinkedIn par une personne se faisant passer pour un recruteur d'une entreprise de crypto, puis déplacée vers le courrier électronique, où l'expéditeur utilisait un domaine usurpé ressemblant fortement à celui d'une entreprise réelle. Plusieurs entretiens ont suivi sur Google Meet. L'intervieweur a gardé sa caméra éteinte tout au long.
La victime a ensuite été envoyée sur un site Web usurpé pour effectuer une évaluation technique de codage, et l'a fait sur un appareil fourni par l'entreprise, téléchargeant un logiciel malveillant sans s'en rendre compte.
Le logiciel malveillant a capturé un jeton de session, la chaîne qu'un service émet pour maintenir un utilisateur connecté. Comme le jeton représente une session déjà authentifiée, le présenter a contourné l'authentification multifacteur et a ouvert le compte Bitbucket de la victime, où l'entreprise stocke et gère son code source.
De là, les attaquants ont modifié les systèmes logiciels de l'employeur et atteint ses serveurs internes, ont déclaré les agences, collectant des identifiants qui ont ensuite été utilisés pour contourner les limites de transaction et les contrôles d'approbation et déplacer des fonds. L'avis ne nomme aucune entreprise, ne dit pas où les fonds sont allés, ni n'attribue les attaques à qui que ce soit. Decrypt a contacté LinkedIn pour obtenir des commentaires et mettra à jour cet article s'ils répondent.
Entretiens contagieux
Ce schéma est bien documenté, les chercheurs suivant une opération de longue durée qu'ils appellent Entretien contagieux, dans laquelle de faux recruteurs orientent les développeurs Web3 vers des codes malveillants, y compris plus de 300 paquets piégés téléchargés sur le registre npm. Un groupe connu sous le nom de TraderTraitor a utilisé de fausses offres d'emploi pour atteindre les systèmes cloud d'entreprise plutôt que des portefeuilles individuels, ce qu'un chercheur a attribué au fait que c'est là que se trouve l'argent. D'autres se sont fait passer pour des recruteurs de Coinbase et Uniswap pour amener les cibles à exécuter des commandes.
Ces campagnes sont attribuées à des pirates nord-coréens, mais le manuel n'est pas uniquement le leur. L'équipe russophone Crazy Evil a créé une fausse entreprise Web3, ChainSeeker.io, et a fait de la publicité pour des postes d'analyste blockchain afin d'attirer les candidats à installer un logiciel malveillant qui vide les portefeuilles.
Les conseils des agences singapouriennes aux particuliers sont de vérifier les recruteurs par les canaux officiels, de considérer un intervieweur qui n'allume pas sa caméra comme un signe d'alerte, et de ne jamais exécuter de code provenant d'une source non vérifiée. Pour les entreprises, les agences recommandent de sécuriser les clés API et les identifiants internes, de renforcer l'authentification multifacteur et de surveiller les appareils inconnus et les activités réseau inhabituelles. En cas de suspicion de compromission, ils conseillent d'isoler les systèmes affectés, de révoquer les sessions actives, de réinitialiser les identifiants et de passer en revue les journaux d'accès.
