کلاهبرداری ارز دیجیتال در لینکدین؛ سرقت ۱۱.۸ میلیون دلاری از جویندگان کار

پلیس سنگاپور و آژانس امنیت سایبری این کشور درباره موجی از کلاهبرداری‌ها هشدار داده‌اند که در آن مهاجمان با جعل هویت استخدام‌کنندگان شرکت‌های ارز دیجیتال، کارکنان شرکت‌ها را هدف قرار می‌دهند. طبق گزارش این دو نهاد، مجموع خسارت شناسایی‌شده از این حملات به ۱۱.۸ میلیون دلار آمریکا معادل ۱۵.۱ میلیون دلار سنگاپور رسیده است.

در یکی از نمونه‌های این حملات، قربانی از طریق لینکدین با فردی مواجه شد که خود را استخدام‌کننده یک شرکت ارز دیجیتال معرفی می‌کرد. ارتباط سپس به ایمیل منتقل شد و مهاجم از یک دامنه جعلی (آدرس اینترنتی مشابه دامنه واقعی شرکت) استفاده کرد.

پس از چند مصاحبه در Google Meet، قربانی برای انجام یک آزمون فنی برنامه‌نویسی به یک وب‌سایت جعلی هدایت شد. این آزمون روی لپ‌تاپ متعلق به شرکت انجام شد و قربانی بدون اطلاع از ماهیت واقعی فایل، نرم‌افزار مخرب را روی دستگاه اجرا کرد.

سرقت توکن نشست و دور زدن احراز هویت

بدافزار نصب‌شده روی سیستم توانست توکن نشست (کد موقتی که ورود تأییدشده کاربر به حساب را حفظ می‌کند) را سرقت کند.

از آنجا که این توکن نشان‌دهنده یک نشست احراز هویت‌شده بود، مهاجمان توانستند احراز هویت چندمرحله‌ای یا MFA (لایه امنیتی اضافی برای تأیید هویت کاربر) را دور بزنند و به حساب Bitbucket قربانی دسترسی پیدا کنند.

Bitbucket (پلتفرم مدیریت و نگهداری کدهای نرم‌افزاری) محل ذخیره و مدیریت کدهای منبع شرکت بود. مهاجمان پس از دسترسی به این حساب، تغییراتی در سیستم‌های نرم‌افزاری شرکت ایجاد کردند و به سرورهای داخلی دسترسی یافتند.

در ادامه، اطلاعات ورود و اعتبارنامه‌ها (اطلاعات لازم برای دسترسی به حساب‌ها و سیستم‌ها) سرقت شد. مهاجمان از این اطلاعات برای عبور از محدودیت‌های تراکنش و فرآیندهای تأیید استفاده کردند و توانستند وجوه شرکت را منتقل کنند.

مقامات سنگاپور نام شرکت قربانی، مقصد وجوه یا عامل این حملات را اعلام نکرده‌اند.

چشم‌انداز بیت‌کوین به سال ۱۴۳۵ سفر کنید؛ سالی که استخراج بیت‌کوین به پایان می‌رسد!

به سال ۱۴۳۵ سفر کنید؛ سالی که استخراج بیت‌کوین به پایان می‌رسد!

3:21 | 00:00

100

برای گوش دادن به پادکست‌های بیشتر کلیک کنید.

همه پادکست‌ها

Contagious Interview؛ روش شناخته‌شده حملات استخدامی

پژوهشگران امنیت سایبری پیش‌تر نیز چنین الگویی را تحت عنوان Contagious Interview (نام یک مجموعه حملات استخدامی جعلی علیه متخصصان فناوری) شناسایی کرده‌اند.

در این روش، مهاجمان با جعل هویت استخدام‌کنندگان، توسعه‌دهندگان Web3 (نسل جدید خدمات و برنامه‌های مبتنی بر فناوری غیرمتمرکز) را به اجرای کدهای مخرب هدایت می‌کنند. در ارتباط با این فعالیت‌ها، بیش از ۳۰۰ بسته آلوده در npm Registry (مخزن آنلاین بسته‌های نرم‌افزاری مورد استفاده توسعه‌دهندگان) شناسایی شده است.

گروهی با نام TraderTraitor نیز از پیشنهادهای شغلی جعلی برای نفوذ به سیستم‌های ابری شرکت‌ها استفاده کرده است. در برخی حملات دیگر نیز مهاجمان خود را به‌عنوان استخدام‌کننده شرکت‌هایی مانند Coinbase و Uniswap معرفی کرده‌اند تا قربانیان را به اجرای دستورات مخرب ترغیب کنند.

استفاده هکرها از پیشنهادهای شغلی برای سرقت ارز دیجیتال

برخی از این حملات به گروه‌های هکری کره شمالی نسبت داده شده‌اند، هرچند این روش محدود به یک گروه خاص نیست.

گروه روس‌زبان Crazy Evil نیز یک شرکت جعلی Web3 با نام ChainSeeker.io ایجاد کرده و با انتشار آگهی‌های استخدامی، متقاضیان را به نصب بدافزارهایی با قابلیت سرقت دارایی‌های دیجیتال ترغیب کرده است.

در این مدل حملات، هدف مهاجمان لزوماً کیف‌پول شخصی قربانی نیست؛ بلکه تلاش می‌کنند از طریق یک کارمند به سیستم‌های شرکت دسترسی پیدا کنند، زیرا اطلاعات حساس و دارایی‌های مالی قابل‌توجهی در زیرساخت‌های سازمانی نگهداری می‌شود.

هشدار امنیتی به کاربران و شرکت‌ها

مقامات سنگاپور از کاربران خواسته‌اند هویت استخدام‌کنندگان را از طریق کانال‌های رسمی شرکت‌ها بررسی کنند و نسبت به مصاحبه‌هایی که در آن مصاحبه‌کننده بدون توضیح دوربین خود را روشن نمی‌کند، محتاط باشند.

همچنین توصیه شده است کاربران هرگز کد یا نرم‌افزاری را که منبع آن مشخص نیست روی سیستم‌های کاری اجرا نکنند.

شرکت‌ها نیز باید از API Key (کلید دسترسی نرم‌افزارها به سرویس‌ها و داده‌ها) و اطلاعات ورود داخلی محافظت کنند، احراز هویت چندمرحله‌ای را تقویت کرده و فعالیت دستگاه‌های ناشناس و رفتارهای غیرعادی شبکه را زیر نظر داشته باشند.

در صورت مشکوک شدن به نفوذ، سیستم‌های آسیب‌دیده باید از شبکه جدا شوند، نشست‌های فعال لغو شوند، اطلاعات ورود تغییر کند و لاگ‌های دسترسی (سوابق ثبت فعالیت کاربران و سیستم‌ها) مورد بررسی قرار گیرند.