Wiadomo już jak włamali się do Binance (i wykradli ponad 6 miliardów USD)

O całej akcji krótko informowaliśmy tutaj, a właśnie Binance przygotowało analizę tego incydentu. Wyglądało to w skrócie tak.

Scamerzy skontaktowali się z pracownikiem prawdopodobnie przez LinkedIn. Pierwsza tura rekrutacji wyglądała całkiem normalnie (niby rozmowa HR-rami). Druga tura rekrutacji była z rzekomym CEO, który zapodał pewne zadanie do rozwiązania.

Po pobraniu oraz uruchomieniu zadania, komputer pracownika został zainfekowany, a malware nie został wykryty przez antywirusa.

Teraz coś szalonego – wg relacji wykorzystane zostało “wewnętrzne narzędzie AI” – w celu uzyskania dostępu do kont (komputerów?) dwóch kolejnych pracowników IT (orig.: “[an attacker] used an internal AI tool to gain control over the Wallet DevOps Engineer A and another Wallet Software Engineer C”)

Mając te dostępy, atakujący uruchomili finalny atak z kradzieżą środków (co zostało dość szczegółowo opisane tutaj).

Jest jeszcze jedna ciekawostka – parę miesięcy wcześniej jeden z pracowników szukał w Google pewnego narzędzia, kliknął w pierwszego linka (fałszywą reklamę Google); po instalacji lewego narzędzia zainfekował swój komputer. W tamtym przypadku dział bezpieczeństwa Binance zauważył problem i wymienił cały komputer. Atakujący jednak pozyskali pewne kluczowe informacje o infrastrukturze, które wykorzystali w ataku, o którym piszemy powyżej.

Na koniec:

• Nie uruchamiaj na komputerze nic, co otrzymasz od rekrutera (“zadanek”, “oprogramowania do konferencji”, “czytnika PDFów” , etc)
• Czasem scammerzy kontaktują się z przejętego konta rekrutera na LinkedIn. Więc sprawdzenie czy konto ma reputację, niewiele da.
• Pamiętaj, że antywirus nie zawsze Cię ochroni.

~ms