Tawaran Pekerjaan Cryptocurrency Palsu Menyebabkan Kerugian Besar
Sebuah tawaran pekerjaan cryptocurrency palsu yang menginfeksi perangkat yang dikeluarkan oleh perusahaan telah menyebabkan kerugian sebesar $11,8 juta setelah para penyerang berhasil mengakses sistem perusahaan dan melewati kontrol transaksi, menurut otoritas Singapura. Kepolisian Singapura dan Badan Keamanan Siber Singapura mengungkapkan pada 14 Agustus bahwa korban pertama kali dihubungi melalui LinkedIn oleh seorang penipu yang berpura-pura sebagai perekrut dari perusahaan terkait cryptocurrency.
Proses Wawancara yang Menipu
Proses wawancara yang dilakukan akhirnya memberikan akses kepada para penyerang ke majikan korban. Komunikasi berpindah dari LinkedIn ke email, di mana perekrut yang diduga menggunakan domain palsu yang sangat mirip dengan alamat perusahaan yang sah. Korban juga menghadiri beberapa wawancara melalui Google Meet, meskipun orang yang melakukan wawancara tetap mematikan kameranya selama panggilan.
Seiring dengan kemajuan proses perekrutan, korban diarahkan ke situs web palsu dan diminta untuk menyelesaikan penilaian pengkodean teknis di perangkat yang dikeluarkan oleh perusahaan. Tanpa disadari, perangkat lunak berbahaya diunduh selama penilaian tersebut. Setelah terinstal, malware tersebut mengumpulkan token sesi korban, menurut laporan dari SPF dan CSA.
Akses ke Akun dan Kerugian
Para penyerang kemudian menggunakan token yang dicuri untuk melewati otentikasi multi-faktor dan mendapatkan akses ke akun Bitbucket korban, yang terhubung ke repositori kode majikan. Bitbucket adalah layanan hosting repositori kode yang digunakan oleh tim pengembangan perangkat lunak untuk menyimpan, mengelola, dan berkolaborasi pada kode sumber. Akses ke akun karyawan dapat mengekspos lebih dari sekadar perangkat individu, terutama ketika akun tersebut memiliki izin yang terkait dengan repositori perusahaan atau sistem pengembangan lainnya.
Setelah berhasil masuk ke akun Bitbucket, para penyerang memodifikasi instruksi penyebaran perangkat lunak otomatis perusahaan, menurut kedua lembaga tersebut. Penyusupan kemudian berpindah ke infrastruktur internal perusahaan saat para penyerang mengakses servernya dari jarak jauh. Kredensial yang dikumpulkan selama kompromi memungkinkan para penyerang untuk melewati batas transaksi dan pemeriksaan persetujuan yang digunakan untuk mengontrol transfer cryptocurrency. SPF dan CSA melaporkan bahwa para penyerang kemudian melakukan transaksi cryptocurrency yang mengakibatkan kerugian total sebesar $11,8 juta.
Metode Serangan yang Mirip
Penggunaan penilaian pengkodean sebagai metode pengiriman malware mirip dengan serangan yang sebelumnya didokumentasikan di sektor cryptocurrency, di mana pengembang dan staf teknis lainnya didekati dengan tawaran pekerjaan sebelum diminta untuk menjalankan kode atau menginstal perangkat lunak. Pada bulan Mei, crypto.news melaporkan tentang malware TrapDoor, yang menargetkan pengembang cryptocurrency dan kecerdasan buatan melalui paket perangkat lunak berbahaya.
Platform keamanan pengembang, Socket, menemukan setidaknya 34 paket berbahaya dan 384 versi terkait di seluruh ekosistem npm, PyPI, dan Rust. Menurut Socket, paket-paket tersebut dirancang untuk mencuri informasi dompet cryptocurrency, bersama dengan token GitHub, kunci API, kredensial cloud, dan akses SSH.
Rekomendasi untuk Keamanan
Kampanye tersebut menempatkan lingkungan pengembang pada titik kompromi, memungkinkan para penyerang untuk menargetkan kredensial yang dapat memberikan akses ke sistem di luar akun cryptocurrency pribadi korban. Serangan bertema perekrutan juga mengandalkan platform komunikasi yang sah untuk membuat kontak awal tampak kredibel sebelum mengarahkan korban menuju perangkat lunak berbahaya.
Kampanye malware Obsidian pada bulan April menggunakan LinkedIn dan Telegram untuk mendekati profesional cryptocurrency dan keuangan.
SPF dan CSA menyarankan bisnis dan individu, terutama yang beroperasi di bidang teknologi dan cryptocurrency, untuk memverifikasi identitas perekrut dan perusahaan yang mereka klaim wakili sebelum berinteraksi dengan file, situs web, atau perangkat lunak terkait pekerjaan. Perusahaan juga disarankan untuk melindungi kunci antarmuka pemrograman aplikasi dan kredensial internal sambil memperkuat otentikasi multi-faktor.
Pentingnya Keamanan Repositori Kode
Mengamankan repositori kode dan jalur penyebaran perangkat lunak secara khusus direkomendasikan karena akses ke sistem tersebut dapat memungkinkan kompromi yang dimulai pada satu perangkat karyawan untuk mencapai infrastruktur perusahaan. Lembaga juga mendesak bisnis untuk meninjau bagaimana kredensial sensitif disimpan dan diakses.
Dalam kasus terbaru, kredensial yang dikumpulkan setelah kompromi awal digunakan untuk melewati batas transaksi dan pemeriksaan persetujuan, memungkinkan para penyerang untuk mengeksekusi transfer cryptocurrency. Akses pengembang tetap menjadi target berulang karena repositori perangkat lunak dan alat terkait dapat berisi kredensial atau memberikan jalur ke sistem cloud dan produksi.
Kesimpulan
Bagi individu, lembaga merekomendasikan untuk memperlakukan pendekatan perekrutan yang tidak diminta dengan hati-hati dan memverifikasi secara independen baik perekrut maupun perusahaan yang terlibat. Pemeriksaan ekstra disarankan ketika proses wawancara mengharuskan kandidat untuk mengunduh file, menjalankan kode yang tidak dikenal, atau menggunakan situs web yang disediakan oleh orang-orang yang belum mereka verifikasi secara independen.
