Une fausse offre d'emploi dans le domaine des cryptomonnaies qui a infecté un appareil fourni par l'entreprise a entraîné des pertes de 11,8 millions de dollars américains après que des attaquants ont eu accès aux systèmes de l'entreprise et contourné les contrôles de transactions, ont indiqué les autorités singapouriennes.
Résumé
- Une fausse offre d'emploi en cryptomonnaie a entraîné des pertes de 11,8 millions de dollars américains après qu'un malware a infecté un appareil de l'entreprise.
- Les attaquants ont volé un jeton de session, contourné l'authentification multifacteur et accédé au référentiel Bitbucket de l'entreprise.
- Les identifiants volés ont ensuite été utilisés pour contourner les limites de transaction et les contrôles d'approbation pour les transferts de cryptomonnaies.
- Les autorités singapouriennes ont exhorté les entreprises à sécuriser les identifiants, les référentiels de code et les systèmes de déploiement.
La police de Singapour et l'Agence de cybersécurité de Singapour ont déclaré le 14 août que la victime avait d'abord été contactée sur LinkedIn par un escroc se faisant passer pour un recruteur d'une entreprise liée aux cryptomonnaies, entamant un processus d'entretien qui a finalement donné aux attaquants accès à l'employeur de la victime.
La communication est passée de LinkedIn à l'e-mail, où le faux recruteur utilisait un domaine usurpé ressemblant fortement à l'adresse légitime de l'entreprise. La victime a également assisté à plusieurs entretiens via Google Meet, bien que la personne menant les entretiens ait gardé sa caméra éteinte pendant les appels.
Au fur et à mesure que le processus de recrutement avançait, la victime a été envoyée sur un site Web usurpé et invitée à effectuer une évaluation technique de codage sur un appareil fourni par l'entreprise. Un logiciel malveillant a été téléchargé pendant l'évaluation sans que la victime se rende compte que l'appareil avait été compromis.
Une fausse évaluation d'emploi en cryptomonnaie a ouvert l'accès aux systèmes de l'entreprise
Une fois installé, le malware a récolté le jeton de session de la victime, ont déclaré la SPF et la CSA. Les attaquants ont ensuite utilisé le jeton volé pour contourner l'authentification multifacteur et accéder au compte Bitbucket de la victime, qui était connecté au référentiel de code de l'employeur.
Bitbucket est un service d'hébergement de référentiels de code utilisé par les équipes de développement logiciel pour stocker, gérer et collaborer sur le code source. L'accès à un compte d'employé peut donc exposer plus que l'appareil individuel lorsque le compte a des autorisations liées aux référentiels de l'entreprise ou à d'autres systèmes de développement.
Après être entrés dans le compte Bitbucket, les attaquants ont modifié les instructions de déploiement automatisé du logiciel de l'entreprise, selon les deux agences. L'intrusion s'est ensuite déplacée dans l'infrastructure interne de l'entreprise alors que les attaquants accédaient à distance à ses serveurs.
Les identifiants collectés lors de la compromission ont permis aux attaquants de contourner les limites de transaction et les contrôles d'approbation utilisés pour réguler les transferts de cryptomonnaies. La SPF et la CSA ont déclaré que les attaquants avaient ensuite effectué des transactions en cryptomonnaies entraînant des pertes totalisant 11,8 millions de dollars américains.
L'utilisation d'une évaluation de codage comme méthode de livraison de malware ressemble à des attaques précédemment documentées dans le secteur des cryptomonnaies, où des développeurs et d'autres membres du personnel technique sont approchés avec des offres d'emploi avant de leur demander d'exécuter du code ou d'installer des logiciels.
En mai, crypto.news a fait état du malware TrapDoor, qui ciblait les développeurs de cryptomonnaies et d'intelligence artificielle via des paquets logiciels malveillants. La plateforme de sécurité pour développeurs Socket a trouvé au moins 34 paquets malveillants et 384 versions connectées dans les écosystèmes npm, PyPI et Rust.
Selon Socket, les paquets étaient conçus pour voler des informations de portefeuille de cryptomonnaies ainsi que des jetons GitHub, des clés API, des identifiants cloud et un accès SSH. La campagne a placé les environnements de développement au point de compromission, permettant aux attaquants de cibler des identifiants qui pourraient donner accès à des systèmes en dehors des comptes personnels de cryptomonnaies de la victime.
Les travailleurs de la cryptomonnaie ont fait face à des attaques répétées de malware basées sur les recruteurs
Une campagne de malware Obsidian en avril a utilisé LinkedIn et Telegram pour approcher des professionnels de la cryptomonnaie et de la finance. Elastic Security Labs a constaté que les attaquants s'appuyaient sur l'ingénierie sociale pour convaincre les cibles d'installer des plugins communautaires malveillants pour l'application légitime de prise de notes Obsidian.
Le malware, identifié sous le nom de PHANTOMPULSE, a utilisé trois réseaux de blockchain pour recevoir des commandes et maintenir sa persistance, selon Elastic Security Labs. Les chercheurs ont recommandé des politiques strictes de plugins au niveau applicatif dans les entreprises financières afin de réduire le risque que des logiciels de productivité légitimes soient transformés en point d'entrée pour les attaquants.
Au cours du même mois, le fournisseur de portefeuilles Zerion a confirmé une violation de 100 000 $ liée à une opération d'ingénierie sociale de longue date associée à des attaquants nord-coréens. La violation de sécurité chez Zerion impliquait des attaquants utilisant l'intelligence artificielle pour usurper l'identité de contacts de confiance avant de compromettre les identifiants de portefeuilles chauds.
Les chercheurs de Security Alliance ont relié cette campagne à 164 domaines malveillants utilisés dans des tentatives d'infiltration d'entreprises de cryptomonnaies via des services tels que Slack et LinkedIn. Zerion a déclaré que les attaquants avaient ciblé le côté humain de ses opérations plutôt que de briser directement sa technologie de portefeuille sous-jacente.
SPF et CSA n'ont pas attribué la perte récente de 11,8 millions de dollars américains à la Corée du Nord ni à aucun autre groupe de pirates.
L'ingénierie sociale basée sur le recrutement a cependant déjà été utilisée par des acteurs de la menace nord-coréens contre des entreprises de cryptomonnaies. Google Cloud et Wiz ont rapporté en 2025 que UNC4899, également connu sous le nom de TraderTraitor, avait approché des employés d'entreprises de cryptomonnaies via LinkedIn et Telegram en se faisant passer pour des recruteurs.
Dans les incidents impliquant des approches par emploi à distance, les employés ont été persuadés d'exécuter des conteneurs Docker malveillants sur leurs postes de travail. Les conteneurs déployaient des téléchargeurs et des portes dérobées connectés à une infrastructure contrôlée par les attaquants, après quoi le groupe se déplaçait dans les réseaux internes, collectait des identifiants et recherchait des systèmes utilisés pour traiter les transactions de cryptomonnaies.
Google a déclaré qu'un incident avait permis à UNC4899 de désactiver l'authentification multifacteur sur un compte Google Cloud privilégié et d'accéder à des services liés aux portefeuilles. Le groupe est actif depuis au moins 2020 et s'est fortement concentré sur les entreprises de cryptomonnaies et de blockchain, selon les recherches sur les menaces de l'entreprise.
Les autorités singapouriennes appellent à un contrôle plus strict des référentiels et des identifiants
Suite au dernier incident, SPF et CSA ont conseillé aux entreprises et aux particuliers, en particulier ceux opérant dans la technologie et les cryptomonnaies, de vérifier l'identité des recruteurs et des entreprises qu'ils prétendent représenter avant d'interagir avec des fichiers, sites Web ou logiciels liés à l'emploi.
Il a également été conseillé aux entreprises de protéger les clés d'interface de programmation d'applications et les identifiants internes tout en renforçant l'authentification multifacteur. La sécurisation des référentiels de code et des pipelines de déploiement de logiciels a été spécifiquement recommandée car l'accès à ces systèmes peut permettre qu'une compromission commençant sur un appareil d'employé atteigne l'infrastructure de l'entreprise.
Les agences ont également exhorté les entreprises à examiner comment les identifiants sensibles sont stockés et accessibles. Dans le dernier cas, les identifiants collectés après la compromission initiale ont été utilisés pour contourner les limites de transaction et les contrôles d'approbation, permettant aux attaquants d'exécuter des transferts de cryptomonnaies.
L'accès des développeurs est resté une cible récurrente car les référentiels de logiciels et les outils associés peuvent contenir des identifiants ou fournir des voies d'accès aux systèmes cloud et de production. La campagne TrapDoor découverte en mai, par exemple, ciblait les jetons GitHub, les clés SSH et les identifiants cloud en plus des données de portefeuilles de cryptomonnaies, donnant aux attaquants plusieurs types d'accès à partir d'un seul environnement de développement infecté.
Des escroqueries de recrutement antérieures ont utilisé des étapes similaires avec différentes méthodes de livraison de logiciels malveillants. Une campagne de faux entretiens de décembre 2024 a approché des professionnels du Web3 via LinkedIn, Telegram et des plateformes de freelance avec des offres d'emploi lucratives.
Les cibles étaient dirigées vers un service d'entretien vidéo et devaient répondre à des questions ordinaires de l'industrie avant d'atteindre une tâche vidéo finale. Lorsque les victimes rencontraient un problème supposé de microphone ou de caméra, on leur montrait des instructions de dépannage qui exigeaient d'exécuter des commandes sur leurs ordinateurs.
L'enquêteur on-chain Taylor Monahan a déclaré à l'époque que l'exécution des commandes pouvait donner aux attaquants un accès général à l'appareil, créant des opportunités de voler des informations sensibles, de surveiller l'activité ou de compromettre des portefeuilles de cryptomonnaies.
Les appareils compromis doivent être isolés immédiatement
Pour les entreprises qui soupçonnent qu'un appareil d'employé ou un système interne a déjà été compromis, SPF et CSA ont conseillé d'isoler immédiatement l'équipement ou les systèmes affectés.
Les sessions actives doivent être révoquées et les identifiants réinitialisés, tandis que les journaux d'accès doivent être examinés pour détecter des signes que les attaquants ont accédé à d'autres comptes ou à l'infrastructure de l'entreprise. Les autorités ont également conseillé aux entreprises de vérifier si les référentiels de code, les serveurs internes, les comptes ou les flux de travail d'approbation ont été modifiés pendant la compromission.
Pour les particuliers, les agences ont recommandé de traiter les approches de recrutement non sollicitées avec prudence et de vérifier indépendamment à la fois le recruteur et l'entreprise concernée. Une vigilance supplémentaire a été conseillée lorsqu'un processus d'entretien exige que les candidats téléchargent des fichiers, exécutent du code inconnu ou utilisent des sites Web fournis par des personnes qu'ils n'ont pas vérifiées indépendamment.
Les entreprises ont également été invitées à examiner l'accès aux clés API et autres identifiants internes, à renforcer les contrôles d'authentification multifacteur et à sécuriser l'infrastructure de développement, y compris les référentiels et les pipelines de déploiement automatisés.
