Peringatan Terhadap Kampanye Rekayasa Sosial di Kalangan Pengguna Bitcoin
Para pengguna Bitcoin kini dihadapkan pada peringatan baru mengenai kampanye rekayasa sosial yang aktif, di mana akun Telegram tepercaya dibajak dan para profesional cryptocurrency dialihkan ke pertemuan Zoom atau Microsoft Teams palsu. Lightning News mengangkat alarm pada 7 Agustus, mengutip laporan terbaru dari anggota komunitas Bitcoin. Penelitian keamanan independen telah mengonfirmasi adanya rantai serangan yang terstruktur, meskipun tidak semua klaim telah diverifikasi.
Detail Serangan dan Metode yang Digunakan
JUMPSEC melaporkan pada bulan Juli bahwa mereka berhasil memperoleh kode sumber dari kit phishing BlueNoroff yang aktif setelah peta sumber JavaScript terungkap. Para peneliti menemukan bahwa platform akuisisi korban menyalahgunakan kontak Telegram yang telah dikompromikan, memprofilkan dompet cryptocurrency, dan mengirimkan malware ke target yang dipilih di sistem Windows dan macOS. JUMPSEC menyatakan bahwa infrastruktur kampanye yang diidentifikasi tetap aktif hingga 22 Juli. Serangan ini dimulai dengan memanfaatkan kepercayaan daripada kerentanan blockchain.
JUMPSEC menemukan bahwa operator menggunakan akun Telegram yang telah dikompromikan milik kontak industri yang nyata untuk mengundang target ke pertemuan video palsu. Karena pesan datang dari akun yang asli dan dapat merujuk pada hubungan yang sudah ada, pengenalan pengirim saja memberikan perlindungan yang terbatas.
Kasus Serupa dan Atribut yang Ditemukan
Google Mandiant secara independen mendokumentasikan intrusi serupa oleh UNC1069 pada bulan Februari. Seorang korban menerima pesan dari akun Telegram eksekutif crypto yang telah dikompromikan, menjadwalkan pertemuan dan diarahkan ke domain Zoom yang dipalsukan. Korban melaporkan melihat apa yang tampak seperti video yang dihasilkan oleh AI dari eksekutif crypto lain selama panggilan yang dipentaskan. Atribusi membutuhkan ketepatan. Mandiant melacak aktor ini sebagai UNC1069 dan menyatakan bahwa mereka memiliki tumpang tindih dengan BlueNoroff.
Departemen Keuangan AS secara resmi menetapkan BlueNoroff, yang juga dikenal sebagai APT38, sebagai kelompok yang didukung negara Korea Utara yang dikendalikan oleh Biro Umum Pengintaian. Security Alliance juga mengaitkan kampanye pertemuan palsu ini dengan UNC1069 atau BlueNoroff.
Metode Malware dan Dampaknya
Kit yang direkonstruksi oleh JUMPSEC menunjukkan antarmuka pertemuan yang dipentaskan yang meminta akses webcam sebelum operator bergabung dengan video yang telah direkam sebelumnya. Korban kemudian melihat masalah audio yang diduga dan pembaruan perangkat lunak palsu. Teks pemecahan masalah yang ditampilkan menipu: menyalinnya akan menempatkan perintah ClickFix yang dikendalikan penyerang ke clipboard. Di Windows, JUMPSEC mengamati komponen PowerShell dan VBScript yang mampu menonaktifkan pertahanan, melakukan pengintaian, dan mendukung akses lanjutan. Di macOS, para peneliti menemukan skrip shell dan payload Mach-O yang dirancang untuk mencuri kredensial dan data sensitif lainnya.
Kit ini juga memindai penyedia dompet browser sebelum pengiriman malware, membantu operator mengidentifikasi target yang berharga. Ini berarti klaim bahwa hanya membuka tautan pertemuan secara otomatis menguras dompet terlalu luas. Dalam rantai yang didokumentasikan, kompromi memerlukan tindakan lain, seperti menjalankan perintah yang disalin atau pembaruan berbahaya. Namun, setelah malware dieksekusi, Mandiant menemukan alat yang mampu mencuri data browser, kredensial Keychain, dan data pengguna Telegram.
Peringatan dan Rekomendasi dari FBI
FBI telah memperingatkan secara terpisah bahwa aktor Korea Utara melakukan rekayasa sosial yang sangat disesuaikan terhadap karyawan cryptocurrency dan DeFi. Panduan mereka secara khusus menandai permintaan untuk mengeksekusi kode, menginstal aplikasi yang tidak dikenal, menjalankan skrip untuk memperbaiki panggilan video, atau memindahkan percakapan antara platform komunikasi. FBI merekomendasikan untuk memverifikasi identitas melalui saluran independen dan menjaga kredensial dompet, frasa benih, dan kunci pribadi dari perangkat yang terhubung ke internet.
Autentikasi dua faktor tetap berguna, tetapi perangkat yang terinfeksi dapat mengekspos data sesi, sehingga sesi yang dikompromikan juga harus dicabut dari perangkat yang bersih. Kampanye ini, oleh karena itu, paling baik digambarkan sebagai operasi rekayasa sosial yang sedang berlangsung yang terkait dengan Korea Utara, yang menargetkan lapisan manusia di sekitar penyimpanan crypto.
Kesimpulan
Pengguna harus memperlakukan permintaan pertemuan yang tidak terduga, perubahan domain, permintaan perbaikan audio, dan permintaan untuk menempelkan perintah sebagai sinyal risiko tinggi. Jika kode mencurigakan telah dijalankan, FBI menyarankan untuk memutuskan perangkat yang terpengaruh dari internet sambil membiarkannya menyala untuk pemulihan forensik potensial, kemudian menghubungi spesialis respons insiden dan penegak hukum. Efektivitasnya berasal dari memanfaatkan identitas tepercaya dan alat tempat kerja yang dikenal, bukan dari merusak Bitcoin itu sendiri.
