Singapur Polis Teşkilatı ve Singapur Siber Güvenlik Kurumu tarafından yapılan ortak açıklamaya göre, kripto para şirketlerinde işe alım uzmanısı kılığına giren dolandırıcılar, sahte iş teklifleri kullanarak hedefledikleri şirketlerin sistemlerini ele geçirdi ve toplam 11.8 milyon dolar (15.1 milyon Singapur doları) çaldı.
Cuma günü yapılan ve The Straits Times ile Channel NewsAsia tarafından da duyurulan açıklamada, dolandırıcılık yöntemi tüm detaylarıyla anlatıldı. Buna göre kurbanlara önce LinkedIn üzerinden bir kripto para şirketi adına işe alım uzmanısı gibi davranan kişiler ulaştı. İletişim daha sonra e-postaya taşındı ve gönderen, gerçek bir şirkete çok benzeyen sahte bir alan adı kullandı. Ardından Google Meet üzerinden birkaç mülakat yapıldı, ancak mülakatı yapan kişiler kameralarını hiç açmadı.
Kurban daha sonra teknik bir kodlama değerlendirmesini tamamlaması için sahte bir web sitesine yönlendirildi. Değerlendirmeyi şirket tarafından verilen bir cihaz üzerinden yapan kurban, farkında olmadan cihazına zararlı bir yazılım indirmiş oldu.
Bu zararlı yazılım, bir kullanıcının oturumunu açık tutmak için hizmetler tarafından verilen bir dizi olan oturum belirtecini ele geçirdi. Belirteç zaten kimliği doğrulanmış bir oturumu temsil ettiği için, saldırganlar çok faktörlü kimlik doğrulama aşamasını atlayarak kurbanın Bitbucket hesabına erişim sağladı. Şirketler kaynak kodlarını bu hesapta depolayıp yönetiyor.
Açıklamaya göre saldırganlar, buradan hareketle işverenin yazılım sistemlerini değiştirdi ve şirketin dahili sunucularına sızdı. Ele geçirdikleri kimlik bilgilerini kullanarak işlem limitlerini ve onay mekanizmalarını aştı, ardından fonları transfer etti. İlgili açıklamada saldırıya uğrayan şirketin adı, fonların nereye aktarıldığı veya saldırıyı kimin düzenlediği belirtilmedi. Decrypt konuyla ilgili yorum almak için LinkedIn ile iletişime geçti ve bir yanıt gelmesi durumunda haberi güncelleyecek.
Bulaşıcı Mülakatlar
Bu saldırı kalıbı siber güvenlik araştırmacıları tarafından yakından takip ediliyor. Araştırmacılar, Bulaşıcı Mülakat (Contagious Interview) adını verdikleri uzun soluklu bir operasyonu izliyor. Bu operasyonda sahte işe alım uzmanları, Web3 geliştiricilerini npm kayıt defetine yüklenen 300'den fazla içinde zararlı kod barındıran paket de dahil olmak üzere zararlı kodlara yönlendiriyor. TraderTraitor olarak bilinen bir grup ise bireysel cüzdanlar yerine, paranın aslında bulunduğu kurumsal bulut sistemlerine ulaşmak için sahte iş tekliflerini kullanıyor. Başka gruplar ise hedefleri komut çalıştırmaya ikna etmek için Coinbase ve Uniswap gibi platformlardan işe alım uzmanısı gibi davranıyor.
Bu kampanyaların çoğu Kuzey Koreli hackerlara atfediliyor, ancak bu yöntem sadece onlara özgü değil. Rusça konuşan Crazy Evil hacker grubu, ChainSeeker.io adında tamamen sahte bir Web3 şirketi kurdu ve başvuru sahiplerini kripto cüzdanlarını boşaltan zararlı yazılımları yüklemeleri için kandırmak üzere blokzincir analisti ilanları verdi.
Singapur'daki kurumların bireylere tavsiyesi, işe alım uzmanlarını resmi kanallardan doğrulamaları, kamerasını açmayan mülakatçıları bir uyarı işareti olarak kabul etmeleri ve doğrulanmamış bir kaynaktan gelen kodları asla çalıştırmamaları yönünde. Şirketlere ise API anahtarlarını ve dahili kimlik bilgilerini güvence altına almaları, çok faktörlü kimlik doğrulamayı güçlendirmeleri ve tanıdık olmayan cihazlar ile olağandışı ağ aktivitelerine karşı dikkatli olmaları öneriliyor. Kurumlar, bir güvenlik ihlalinden şüphelenilmesi durumunda etkilenen sistemleri izole etmeyi, aktif oturumları iptal etmeyi, kimlik bilgilerini sıfırlamayı ve erişim günlüklerini incelemeyi tavsiye ediyor.
