Коротко
- Хакеры получили доступ к системам Binance, убедив сотрудника запустить вредоносный код под видом технического задания на собеседовании.
- Ранее директор по безопасности Binance Джимми Су предупреждал о подобных рисках, отмечая сложность обнаружения таких атак антивирусами.
- Компания сообщила о 57 заблокированных угрозах от лиц, связанных с Северной Кореей, с начала текущего года.
- После инцидента биржа усилила контроль над устройствами, обновила системы безопасности и привлекла независимых экспертов для аудита.
За несколько месяцев до того, как Binance потеряла 6,3 миллиарда долларов в результате взлома, ее директор по информационной безопасности рассказал изданию Cointelegraph, как фальшивое собеседование при приеме на работу может открыть злоумышленникам доступ к бирже. Этот сценарий пугающе точно совпал с одним из векторов атаки, которые позже были применены против компании.
В июльском интервью, посвященном противодействию растущим киберугрозам, Джимми Су заявил Cointelegraph, что фиктивные интервью вызывают у них сильную внутреннюю тревогу. Он пояснил, что хакеры могут подстроить вакансию под конкретного сотрудника, а затем уговорить его запустить код в рамках тестового задания.
По словам Су, как только этот код срабатывает, устройство оказывается скомпрометированным, после чего злоумышленники могут начать сбор учетных данных для дальнейшего проникновения в сеть.
Подробное предупреждение Су о вредоносных тестовых заданиях не вошло в июльскую публикацию Cointelegraph, однако оно приобретает совершенно иной вес после крупнейшего взлома криптовалютной биржи в истории.
Согласно предварительному расследованию Binance, в сентябре один из ее инженеров-программистов скачал вредоносное тестовое задание на рабочий компьютер во время поддельного собеседования. Этот инцидент стал частью многоступенчатой атаки, которая завершилась октябрьской кражей.
Общаясь с журналистами Cointelegraph, Су также предсказал, почему системы безопасности могут пропустить подобную ловушку. В июле он отмечал, что техническое задание может состоять из внешне легитимных шагов, таких как загрузка репозитория кода с GitHub.
Каждый из этих шагов сам по себе выглядит вполне законно, поэтому многие антивирусные программы просто не способны их распознать и заблокировать, пояснил он.
Впоследствии в отчете о расследовании Binance описала аналогичный сбой систем обнаружения: процедура настройки тестового задания запустила вредоносное ПО, которое смогло обойти средства защиты конечных точек благодаря обфускации и другим методам маскировки.
В Binance заявили, что ответственность за обнаружение атак лежит на самой компании
Су отметил, что именно на Binance лежит обязанность контролировать риски, если сотрудники ищут стороннюю работу с использованием рабочих компьютеров.
Разумеется, сотрудники могут изучать другие карьерные возможности, но нас беспокоит, когда они делают это на корпоративных устройствах, заявил он. Если специалист попадается на удочку фальшивых рекрутеров, добавил Су, ответственность за обнаружение этого и предотвращение запуска вредоносного кода полностью лежит на компании.
Binance уже проводила проверки сотрудников на устойчивость к действиям мнимых рекрутеров. По словам Су, внутренний красный отдел (red team) на протяжении трех-четырех лет ежемесячно устраивал фишинговые симуляции, отправляя проваливших тест сотрудников на дополнительное обучение.
Поначалу уровень цифровой гигиены оставлял желать лучшего, но со временем ситуация в компании заметно улучшилась, подчеркнул он.
Кевин Гибсон из рекрутинговой компании Proof of Search рассказал Cointelegraph, что подобные угрозы меняют подход криптокомпаний к оценке соискателей: работодатели все чаще хотят знать, встречался ли рекрутер с кандидатом лично.
Многие наши клиенты теперь напрямую спрашивают, виделись ли мы с соискателем в реальной жизни, сообщил Гибсон, добавив, что кандидаты, с которыми сторонний рекрутер встречался лично, получают преимущество.
Как показывает пример Binance, рядовые сотрудники тоже могут стать мишенью.
В сфере криптовалют сомнительное предложение о работе или быстрый созвон могут стать первым шагом к многомиллионному ущербу, резюмировал он.
Binance предотвращает кибератаку из Северной Кореи каждые пять дней
Представители Binance сообщили, что с начала текущего года заблокировали 57 подозрительных кибератак, связанных с КНДР, что в среднем составляет примерно один инцидент каждые пять дней.
После октябрьского инцидента биржа объявила об усилении контроля за устройствами, переработке затронутых систем кошельков и внутренних инструментов на базе искусственного интеллекта, а также об ужесточении мер доступа и аннулировании скомпрометированных доступов.
Кроме того, компания заявила об увеличении инвестиций в защиту конечных точек и безопасности среды разработки, а также о привлечении независимых экспертов по кибербезопасности для анализа инцидента. Некоторые технические детали и защитные меры останутся конфиденциальными.
