Kā viltus programmēšanas tests no kriptovalūtu uzņēmuma izkrāpa 11,8 miljonus dolāru

Pagājušajā mēnesī es saņēmu ziņu lietotnē Signal no kāda izstrādātāja, kurš gandrīz iekrita līdzīgās slazdos. Rekrutētājam bija noslīpēts profils, atsauksmes no atpazīstamiem vārdiem Web3 vidē un darba apraksts, kas piedāvāja 40% algas pielikumu. Izstrādātājs atteicās tikai tāpēc, ka "programmēšanas novērtējums" pieprasīja lejupielādēt pielāgotu vidi, nevis izmantot standarta pārlūkprogrammas IDE. Šī intuīcija glāba viņa uzņēmumu. Citiem tik ļoti nepaveicās. Singapūras policijas spēki un Singapūras Kiberdrošības aģentūra nesen detalizēti aprakstīja drošības pārkāpumu, kur viena darbinieka vēlme pēc labākas karjeras izraisīja 11,8 miljonu ASV dolāru zaudējumus.

Šis incidents ir mācību grāmatas piemērs tam, kā mūsdienu uzbrucēji apiet sarežģītu aizsardzību, mērķējot uz cilvēcisko elementu tīkla malā. Uzbrucēji nemeklēja nulles dienas ievainojamību ugunsmūrī vai kļūdu kriptogrāfijas protokolā. Viņi meklēja personu, kura bija gatava pierādīt savu tehnisko varēšanu uz uzņēmuma izsniegtas ierīces. Līdz brīdim, kad drošības operāciju centrs pamanīja neparasto aktivitāti, uzbrucēji jau bija pārvietojušies no LinkedIn pastkastes uz uzņēmuma finanšu infrastruktūras sirdi.

Sapņu darba psiholoģiskais āķis

Sociālā inženierija gūst panākumus, jo tā izmanto profesionālās ambīcijas. Kampaņa sākās LinkedIn, kur krāpnieks, uzdodoties par kriptovalūtu firmas rekrutētāju, uzrunāja upuri. Šī fāze bija vērsta uz uzticības un leģitimitātes veidošanu. Uzbrucējs pārcēla sarunu uz e-pastu, izmantojot viltotu domēnu, kas atspoguļoja reāla uzņēmuma adresi. Darbiniekam, kurš ātri pārskata savu pastkasti, viena burta atšķirība domēna vārdā ir gandrīz nepamanāma.

Intervijas process vēl vairāk nostiprināja maldus. Upuris piedalījās vairākās kārtās Google Meet platformā. Persona otrā pusē turēja kameru izslēgtu, atsaucoties uz tehniskām problēmām vai privātumu — tā ir izplatīta taktika, ko izmanto, lai slēptu to personu identitāti, kuras darbojas no tādām jurisdikcijām kā Ziemeļkoreja. Šis posms ir digitālais Trojas zirgs. Mērķis ir likt upurim justies tā, it kā viņš atrastos augsta līmeņa profesionālā novērtēšanā, kas mazina modrību, kad pienāk "tehniskais novērtējums".

Kad programmēšanas novērtējums kļūst par ieroci

Rekrutēšanas procesa pēdējā posmā upuris saņēma saiti uz viltotu tīmekļa vietni. Viņam lika izpildīt programmēšanas uzdevumu uz uzņēmuma izsniegtā klēpjdatora. Šāds pieprasījums programmatūras nozarē ir standarts, kas padara to par ideālu mehānismu ļaundabīgas programmatūras piegādei. Kad upuris palaida sniegto kodu vai instalēja ieteikto programmatūras vidi, fonā izpildījās ļaunprogrammatūra.

Šī konkrētā ļaunprogrammatūra tika izstrādāta sesijas žetonu (session tokens) ievākšanai. No riska viedokļa tas ir murgs jebkurai IT nodaļai. Sesijas žetoni ir digitālais ekvivalents VIP kluba apsargam, kurš atpazīst jūsu seju pēc tam, kad jau esat uzrādījis personu apliecinošu dokumentu. Tā kā žetons pierāda, ka lietotājs jau ir autentificējies, uzbrucējam nav jāzina parole vai jābūt piekļuvei upura fiziskajai MFA ierīcei. Viņi vienkārši ievieto nozagto žetonu savā pārlūkprogrammā un pārņem upura aktīvo sesiju.

Programmatūras izvietošanas cauruļvada saindēšana

Tiklīdz uzbrucēji ieguva sesijas žetonu, viņi piekļuva upura Bitbucket kontam. Bitbucket ir izstrādes vides "tumšā matērija" — tas bieži vien ir neredzams parastajiem darbiniekiem, taču satur uzņēmuma biznesa pamatloģiku. Piekļuve repozitorijam ir sistēmiska kļūme, jo tā ļauj uzbrucējiem redzēt, kā uzņēmums veido un izvieto programmatūru.

Aizkulisēs iebrucēji modificēja automatizētās programmatūras izvietošanas instrukcijas. Mainot kodu repozitorijā vai skriptus, kas norāda serveriem, kā palaist šo kodu, uzbrucēji ieguva atbalsta punktu iekšējā infrastruktūrā. Šī laterālā kustība ļāva viņiem pāriet no viena kompromitēta klēpjdatora uz produkcijas serveriem, kas apstrādā reālu naudu. Šāda pārkāpuma gadījumā tiek sagrauts visa izstrādes dzīves cikla uzticības modelis. Uzbrucēji vairs nebija tikai viesi klēpjdatorā; viņi faktiski kļuva par uzņēmuma koda administratoriem.

Finansiālās aizsardzības pēdējās līnijas apiešana

Vispostošākā iebrukuma daļa notika, kad uzbrucēji sasniedza sistēmas, ko izmanto kriptovalūtu pārskaitījumu apstrādei. Lielākā daļa firmu izmanto darījumu limitus un vairāku personu apstiprināšanas pārbaudes kā pretpasākumu pret iekšējo krāpšanu vai viena punkta kļūmēm. Tomēr uzbrucēji izmantoja akreditācijas datus, ko viņi savāca, pārvietojoties pa tīklu, lai modificētu šīs vadīklas.

Pārrakstot noteikumus, kas noteica, cik daudz naudas var atstāt uzņēmumu un kam tas ir jāapstiprina, uzbrucēji atbrīvoja ceļu masveida pārskaitījumiem. Rezultātā veiktie darījumi kopumā sasniedza 11,8 miljonus ASV dolāru. Tas izceļ arhitektonisku paradoksu: pat ja jūsu tīkla perimetrs ir izturīgs, jūsu iekšējā loģika joprojām ir ievainojama, ja uzbrucējs var uzdoties par augstu privilēģiju lietotāju saknes līmenī. Uzbrucēji neuzlauza blokķēdes šifrēšanu; viņi salauza cilvēcisko procesu, kas pārvaldīja atslēgas.

Valsts atbalstītu darbību ēna

Lai gan Singapūras iestādes oficiāli nepiesaistīja šo konkrēto uzbrukumu kādai noteiktai grupai, taktika ir ļoti līdzīga kampaņām, ko veic Ziemeļkorejas draudu izpildītāji. Grupas, piemēram, UNC4899, kas pazīstama arī kā TraderTraitor, kopš vismaz 2020. gada ir intensīvi koncentrējušās uz kriptovalūtu un blokķēdes uzņēmumiem. Tās ir pazīstamas ar to, ka uzrunā izstrādātājus, izmantojot LinkedIn un Telegram, un pārliecina viņus palaist ļaunprātīgus Docker konteinerus vai instalēt "kopienas spraudņus" tādām lietotnēm kā Obsidian.

Iepriekšējos incidentos šīs grupas ir izmantojušas mākslīgā intelekta ģenerētas personas, lai uzdotos par uzticamām kontaktpersonām. Šīs kampaņas par kompromitēšanas punktu izvēlas izstrādātāju vides, meklējot GitHub žetonus, SSH atslēgas un mākoņa akreditācijas datus. Proaktīvi runājot, tie nav nejauši kibernoziedzības akti, bet gan mērķtiecīgas operācijas, kas paredzētas nacionālo interešu finansēšanai. Precizitāte, kas nepieciešama, lai modificētu izvietošanas cauruļvadus un apietu darījumu pārbaudes, liecina par dziļu pārzināšanu ar kriptovalūtu firmu iekšējām darba plūsmām.

Cilvēciskā un tehniskā ugunsmūra stiprināšana

Lai novērstu šīs 11,8 miljonu dolāru katastrofas atkārtošanos, uzņēmumiem ir jāiet tālāk par pamata drošības izpratnes apmācību. Paļaušanās uz to, ka darbinieks pamanīs viltotu domēnu, ir reaktīva stratēģija, kas galu galā neizdosies. Granulētāka pieeja ietver infrastruktūras nostiprināšanu tā, lai viena kompromitēta ierīce nevarētu sagraut visu firmu.

Pirmkārt, uzņēmumiem ir jāievieš aparatūras bāzēta daudzfaktoru autentifikācija, piemēram, FIDO2 drošības atslēgas. Nozagti sesijas žetoni ir daudz grūtāk izmantojami, ja sistēma prasa fizisku pieskārienu speciālai ierīcei jutīgām darbībām, piemēram, piekļuvei koda repozitorijiem. Otrkārt, piekļuve Bitbucket un citiem kritiski svarīgiem rīkiem būtu jāpārvalda, izmantojot Just-in-Time (JIT) nodrošināšanu. Nevienam izstrādātājam nevajadzētu būt pastāvīgai, stāvošai piekļuvei produkcijas izvietošanas cauruļvadiem.

Visbeidzot, jebkuram ar darbu saistītam tehniskajam novērtējumam jānotiek izolētā vidē (sandbox), kas ir pilnīgi nošķirta no korporatīvā tīkla. Ja rekrutētājs lūdz kandidātam palaist kodu uz uzņēmuma klēpjdatora, tam vajadzētu izraisīt tūlītēju trauksmi drošības operāciju centrā. Uzbrukuma virsmas novērtēšana nozīmē atzīt, ka izstrādātāja klēpjdators bieži vien ir visvērtīgākais mērķis ēkā.

Praktiski ieteikumi tehniskajām komandām

1. Izmantojiet speciālu, ne-korporatīvu aparatūru visiem ar rekrutēšanu saistītiem uzdevumiem, tostarp programmēšanas testiem un intervijām.
2. Ieviesiet stingras lietotņu līmeņa spraudņu politikas produktivitātes rīkiem, lai novērstu neautorizēta koda izpildi.
3. Auditējiet savus Bitbucket un GitHub piekļuves žurnālus, meklējot sesijas nolaupīšanas pazīmes, piemēram, pieteikšanos no negaidītām IP adresēm, izmantojot derīgus žetonus.
4. Nekavējoties anulējiet aktīvās sesijas, ja darbinieks ziņo par aizdomīgu uzvedību ārējās mijiedarbības laikā.
5. Stipriniet iekšējās darījumu kontroles, pieprasot apstiprinājumus no ierīcēm, kas ir fiziski nošķirtas no izstrādes tīkla.

Avoti: Singapore Police Force (SPF), Cyber Security Agency of Singapore (CSA), Google Cloud Mandiant (UNC4899 Report), MITRE ATT&CK Framework.

Atruna: Šis raksts ir paredzēts tikai informatīviem un izglītojošiem nolūkiem un neaizstāj profesionālu kiberdrošības auditu vai incidentu reaģēšanas pakalpojumu.