Πώς ένα ψεύτικο τεστ προγραμματισμού αφαίμαξε 11,8 εκατομμύρια δολάρια από μια εταιρεία κρυπτονομισμάτων

Έλαβα ένα μήνυμα στο Signal τον περασμένο μήνα από έναν προγραμματιστή που παραλίγο να πέσει σε μια παρόμοια παγίδα. Ο υπεύθυνος προσλήψεων είχε ένα προσεγμένο προφίλ, ιστορικό συστάσεων από αναγνωρίσιμα ονόματα στον χώρο του Web3 και μια περιγραφή θέσης εργασίας που προσέφερε αύξηση μισθού 40%. Ο προγραμματιστής υπαναχώρησε μόνο επειδή η «αξιολόγηση κώδικα» απαιτούσε από αυτόν να κατεβάσει ένα προσαρμοσμένο περιβάλλον αντί να χρησιμοποιήσει ένα τυπικό IDE που βασίζεται σε πρόγραμμα περιήγησης. Αυτή η διαίσθηση έσωσε την εταιρεία του. Άλλοι δεν ήταν τόσο τυχεροί. Η Αστυνομία της Σιγκαπούρης και η Υπηρεσία Κυβερνοασφάλειας της Σιγκαπούρης περιέγραψαν πρόσφατα μια παραβίαση όπου η επιθυμία ενός και μόνο υπαλλήλου για μια καλύτερη καριέρα οδήγησε σε απώλεια 11,8 εκατομμυρίων δολαρίων ΗΠΑ.

Αυτό το περιστατικό αποτελεί κλασικό παράδειγμα του πώς οι σύγχρονοι φορείς απειλών παρακάμπτουν εξελιγμένες άμυνες στοχεύοντας στον ανθρώπινο παράγοντα στο άκρο του δικτύου. Οι επιτιθέμενοι δεν έψαξαν για ένα zero-day σε ένα τείχος προστασίας ή ένα ελάττωμα σε ένα κρυπτογραφικό πρωτόκολλο. Έψαξαν για ένα άτομο που ήταν πρόθυμο να αποδείξει την τεχνική του αξία σε μια συσκευή που είχε εκδοθεί από την εταιρεία. Μέχρι τη στιγμή που το κέντρο επιχειρήσεων ασφαλείας παρατήρησε την ασυνήθιστη δραστηριότητα, οι επιτιθέμενοι είχαν ήδη μετακινηθεί από τα εισερχόμενα του LinkedIn στην καρδιά της χρηματοοικονομικής υποδομής της εταιρείας.

Το ψυχολογικό δέλεαρ μιας δουλειάς ονείρου

Η κοινωνική μηχανική επιτυγχάνει επειδή εκμεταλλεύεται την επαγγελματική φιλοδοξία. Η εκστρατεία ξεκίνησε στο LinkedIn, όπου ένας απατεώνας που παρίστανε τον υπεύθυνο προσλήψεων για μια εταιρεία κρυπτονομισμάτων προσέγγισε το θύμα. Αυτή η φάση αφορούσε την οικοδόμηση σχέσης εμπιστοσύνης και νομιμοφάνειας. Ο επιτιθέμενος μετέφερε τη συνομιλία στο email, χρησιμοποιώντας ένα πλαστογραφημένο domain που αντικατόπτριζε τη διεύθυνση μιας πραγματικής εταιρείας. Για έναν υπάλληλο που ρίχνει μια γρήγορη ματιά στα εισερχόμενά του, μια διαφορά ενός γράμματος σε ένα όνομα τομέα είναι σχεδόν αόρατη.

Η διαδικασία της συνέντευξης εδραίωσε περαιτέρω την εξαπάτηση. Το θύμα συμμετείχε σε αρκετούς γύρους στο Google Meet. Το άτομο στην άλλη πλευρά κρατούσε την κάμερά του κλειστή, επικαλούμενο τεχνικά προβλήματα ή προστασία της ιδιωτικής ζωής, μια κοινή τακτική που χρησιμοποιείται για την απόκρυψη της ταυτότητας φορέων απειλών που δρουν από δικαιοδοσίες όπως η Βόρεια Κορέα. Αυτό το στάδιο είναι ο ψηφιακός Δούρειος Ίππος. Ο στόχος είναι να κάνει το θύμα να νιώσει ότι βρίσκεται σε μια επαγγελματική αξιολόγηση υψηλού ρίσκου, γεγονός που μειώνει την επιφυλακτικότητά του όταν φτάνει η «τεχνική αξιολόγηση».

Όταν η αξιολόγηση κώδικα γίνεται όπλο

Στο τελικό στάδιο της διαδικασίας πρόσληψης, το θύμα έλαβε έναν σύνδεσμο προς έναν πλαστογραφημένο ιστότοπο. Του ζητήθηκε να ολοκληρώσει μια εργασία κώδικα στον φορητό υπολογιστή που του είχε παραχωρήσει η εταιρεία. Αυτό το αίτημα είναι τυπικό στη βιομηχανία λογισμικού, γεγονός που το καθιστά ιδανικό μηχανισμό παράδοσης κακόβουλου λογισμικού. Καθώς το θύμα εκτελούσε τον παρεχόμενο κώδικα ή εγκαθιστούσε το προτεινόμενο περιβάλλον λογισμικού, το κακόβουλο λογισμικό εκτελούνταν στο παρασκήνιο.

Αυτό το συγκεκριμένο κακόβουλο λογισμικό σχεδιάστηκε για τη συλλογή διακριτικών συνεδρίας (session tokens). Από την άποψη του κινδύνου, αυτό είναι ένα σενάριο εφιάλτη για οποιοδήποτε τμήμα πληροφορικής. Τα session tokens είναι το ψηφιακό ισοδύναμο ενός πορτιέρη σε VIP κλαμπ που αναγνωρίζει το πρόσωπό σας αφού έχετε ήδη δείξει την ταυτότητά σας. Επειδή το διακριτικό αποδεικνύει ότι ο χρήστης έχει ήδη πιστοποιηθεί, ο επιτιθέμενος δεν χρειάζεται να γνωρίζει τον κωδικό πρόσβασης ή να έχει πρόσβαση στη φυσική συσκευή MFA του θύματος. Απλώς εισάγουν το κλαπέν διακριτικό στο δικό τους πρόγραμμα περιήγησης και κληρονομούν την ενεργή συνεδρία του θύματος.

Δηλητηρίαση της γραμμής παραγωγής λογισμικού

Μόλις οι επιτιθέμενοι απέκτησαν το session token, απέκτησαν πρόσβαση στον λογαριασμό Bitbucket του θύματος. Το Bitbucket είναι η «σκοτεινή ύλη» ενός περιβάλλοντος ανάπτυξης· είναι συχνά αόρατο στο γενικό προσωπικό, αλλά περιέχει τη βασική λογική των επιχειρηματικών δραστηριοτήτων της εταιρείας. Η πρόσβαση σε ένα αποθετήριο (repository) αποτελεί συστημική αποτυχία, διότι επιτρέπει στους επιτιθέμενους να δουν πώς η εταιρεία κατασκευάζει και αναπτύσσει λογισμικό.

Στο παρασκήνιο, οι εισβολείς τροποποίησαν τις αυτοματοποιημένες οδηγίες ανάπτυξης λογισμικού. Αλλάζοντας τον κώδικα στο αποθετήριο ή τα σενάρια (scripts) που λένε στους διακομιστές πώς να εκτελούν αυτόν τον κώδικα, οι επιτιθέμενοι απέκτησαν βάση στην εσωτερική υποδομή. Αυτή η πλευρική μετακίνηση τους επέτρεψε να μεταπηδήσουν από έναν μεμονωμένο παραβιασμένο φορητό υπολογιστή στους διακομιστές παραγωγής που διαχειρίζονται πραγματικά χρήματα. Σε περίπτωση μιας τέτοιας παραβίασης, το μοντέλο εμπιστοσύνης ολόκληρου του κύκλου ζωής ανάπτυξης καταρρέει. Οι επιτιθέμενοι δεν ήταν πλέον απλώς επισκέπτες σε έναν φορητό υπολογιστή· ήταν ουσιαστικά διαχειριστές του κώδικα της εταιρείας.

Παράκαμψη της τελικής γραμμής χρηματοοικονομικής άμυνας

Το πιο ζημιογόνο μέρος της εισβολής συνέβη όταν οι επιτιθέμενοι έφτασαν στα συστήματα που χρησιμοποιούνται για την επεξεργασία μεταφορών κρυπτονομισμάτων. Οι περισσότερες εταιρείες χρησιμοποιούν όρια συναλλαγών και ελέγχους έγκρισης από πολλά άτομα ως αντίμετρο κατά της εσωτερικής απάτης ή των αστοχιών σε ένα μόνο σημείο. Ωστόσο, οι επιτιθέμενοι χρησιμοποίησαν τα διαπιστευτήρια που συνέλεξαν κατά τη μετακίνησή τους στο δίκτυο για να τροποποιήσουν αυτούς τους ελέγχους.

Επανεγγράφοντας τους κανόνες που όριζαν πόσα χρήματα μπορούσαν να βγουν από την εταιρεία και ποιος έπρεπε να το εγκρίνει, οι επιτιθέμενοι άνοιξαν τον δρόμο για μαζικές μεταφορές. Οι συναλλαγές που προέκυψαν ανήλθαν συνολικά σε 11,8 εκατομμύρια δολάρια ΗΠΑ. Αυτό αναδεικνύει ένα αρχιτεκτονικό παράδοξο: ακόμα και αν η περίμετρος του δικτύου σας είναι ανθεκτική, η εσωτερική σας λογική παραμένει εκμεταλλεύσιμη εάν ένας επιτιθέμενος μπορεί να υποδυθεί έναν χρήστη υψηλών προνομίων σε επίπεδο root. Οι επιτιθέμενοι δεν έσπασαν την κρυπτογράφηση του blockchain· έσπασαν την ανθρώπινη διαδικασία που διαχειριζόταν τα κλειδιά.

Η σκιά της κρατικά υποστηριζόμενης δραστηριότητας

Αν και οι αρχές της Σιγκαπούρης δεν απέδωσαν επίσημα τη συγκεκριμένη επίθεση σε μια συγκεκριμένη ομάδα, οι τακτικές είναι εντυπωσιακά παρόμοιες με εκστρατείες που διεξάγονται από Βορειοκορεάτες φορείς απειλών. Ομάδες όπως η UNC4899, γνωστή και ως TraderTraitor, επικεντρώνονται έντονα σε εταιρείες κρυπτονομισμάτων και blockchain τουλάχιστον από το 2020. Είναι γνωστές για την προσέγγιση προγραμματιστών μέσω LinkedIn και Telegram και την πειθώ τους να εκτελέσουν κακόβουλα Docker containers ή να εγκαταστήσουν «community plugins» για εφαρμογές όπως το Obsidian.

Σε προηγούμενα περιστατικά, αυτές οι ομάδες χρησιμοποίησαν περσόνες που δημιουργήθηκαν από τεχνητή νοημοσύνη για να υποδυθούν έμπιστες επαφές. Αυτές οι εκστρατείες θέτουν τα περιβάλλοντα προγραμματιστών ως σημείο παραβίασης, αναζητώντας διακριτικά GitHub, κλειδιά SSH και διαπιστευτήρια cloud. Προληπτικά μιλώντας, αυτές δεν είναι τυχαίες πράξεις κυβερνοεγκλήματος, αλλά στοχευμένες επιχειρήσεις που έχουν σχεδιαστεί για τη χρηματοδότηση εθνικών συμφερόντων. Η ακρίβεια που απαιτείται για την τροποποίηση των γραμμών παραγωγής και την παράκαμψη των ελέγχων συναλλαγών υποδηλώνει βαθιά εξοικείωση με τις εσωτερικές ροές εργασίας των εταιρειών κρυπτονομισμάτων.

Θωράκιση του ανθρώπινου και τεχνικού τείχους προστασίας

Για να αποτραπεί η επανάληψη αυτής της καταστροφής των 11,8 εκατομμυρίων δολαρίων, οι επιχειρήσεις πρέπει να προχωρήσουν πέρα από τη βασική εκπαίδευση ευαισθητοποίησης σε θέματα ασφάλειας. Η εξάρτηση από έναν υπάλληλο για τον εντοπισμό ενός πλαστογραφημένου domain είναι μια αντιδραστική στρατηγική που τελικά θα αποτύχει. Μια πιο λεπτομερής προσέγγιση περιλαμβάνει την ασφάλιση της υποδομής έτσι ώστε μια μεμονωμένη παραβιασμένη συσκευή να μην μπορεί να καταστρέψει ολόκληρη την εταιρεία.

Πρώτον, οι εταιρείες πρέπει να επιβάλλουν έλεγχο ταυτότητας πολλαπλών παραγόντων που βασίζεται σε υλικό, όπως τα κλειδιά ασφαλείας FIDO2. Τα κλεμμένα session tokens είναι πολύ πιο δύσκολο να χρησιμοποιηθούν όταν το σύστημα απαιτεί ένα φυσικό άγγιγμα σε μια ειδική συσκευή για ευαίσθητες ενέργειες, όπως η πρόσβαση σε αποθετήρια κώδικα. Δεύτερον, η πρόσβαση στο Bitbucket και σε άλλα εργαλεία κρίσιμης σημασίας θα πρέπει να διαχειρίζεται μέσω Just-in-Time (JIT) παροχής πρόσβασης. Κανένας προγραμματιστής δεν θα πρέπει να έχει μόνιμη, διαρκή πρόσβαση στις γραμμές παραγωγής λογισμικού.

Τέλος, οποιαδήποτε τεχνική αξιολόγηση που σχετίζεται με εργασία θα πρέπει να πραγματοποιείται σε ένα περιβάλλον sandbox που είναι εντελώς απομονωμένο από το εταιρικό δίκτυο. Εάν ένας υπεύθυνος προσλήψεων ζητήσει από έναν υποψήφιο να εκτελέσει κώδικα σε έναν εταιρικό φορητό υπολογιστή, αυτό θα πρέπει να προκαλέσει άμεση ειδοποίηση στο κέντρο επιχειρήσεων ασφαλείας. Η αξιολόγηση της επιφάνειας επίθεσης σημαίνει την αναγνώριση ότι ο φορητός υπολογιστής ενός προγραμματιστή είναι συχνά ο πιο πολύτιμος στόχος στο κτίριο.

Πρακτικές συμβουλές για τεχνικές ομάδες

1. Χρησιμοποιείτε ειδικό, μη εταιρικό υλικό για όλες τις εργασίες που σχετίζονται με προσλήψεις, συμπεριλαμβανομένων των τεστ κώδικα και των συνεντεύξεων.
2. Εφαρμόστε αυστηρές πολιτικές πρόσθετων (plugins) σε επίπεδο εφαρμογής για εργαλεία παραγωγικότητας, ώστε να αποτρέψετε την εκτέλεση μη εξουσιοδοτημένου κώδικα.
3. Ελέγχετε τα αρχεία καταγραφής πρόσβασης στο Bitbucket και το GitHub για σημάδια υποκλοπής συνεδρίας, όπως συνδέσεις από μη αναμενόμενες διευθύνσεις IP που χρησιμοποιούν έγκυρα διακριτικά.
4. Ανακαλέστε αμέσως τις ενεργές συνεδρίες εάν ένας υπάλληλος αναφέρει ύποπτη συμπεριφορά κατά τη διάρκεια μιας εξωτερικής αλληλεπίδρασης.
5. Ενισχύστε τους εσωτερικούς ελέγχους συναλλαγών απαιτώντας εγκρίσεις από συσκευές που είναι φυσικά διαχωρισμένες από το δίκτυο ανάπτυξης.

Πηγές: Singapore Police Force (SPF), Cyber Security Agency of Singapore (CSA), Google Cloud Mandiant (UNC4899 Report), MITRE ATT&CK Framework.

Αποποίηση ευθύνης: Αυτό το άρθρο προορίζεται μόνο για ενημερωτικούς και εκπαιδευτικούς σκοπούς και δεν αντικαθιστά έναν επαγγελματικό έλεγχο κυβερνοασφάλειας ή μια υπηρεσία απόκρισης σε περιστατικά.