In questo articolo Indice dei contenuti 2 sezioni
Un falso colloquio di lavoro è stato uno dei tasselli decisivi del maxi furto subito da Binance il 29 ottobre. Non un colpo messo a segno all’improvviso, quindi, ma l’ultimo atto di un piano costruito con pazienza nel corso di mesi e basato su una serie di compromissioni mirate ai dipendenti dell’azienda. A raccontarlo è lo stesso exchange crypto, che nella sua ricostruzione collega l’incidente alle conclusioni dell’FBI, secondo cui dietro l’operazione ci sarebbe la Corea del Nord.
La vicenda mostra quanto possa essere lungo e metodico il lavoro degli aggressori prima di arrivare al bersaglio vero e proprio. Ogni passaggio sembra pensato per avvicinarsi un po’ di più all’infrastruttura dei portafogli digitali della piattaforma, sfruttando di volta in volta persone diverse e strumenti apparentemente innocui.
Da Homebrew alla trappola del finto CEO
Tutto sarebbe cominciato a giugno. Un ingegnere DevOps impegnato sull’infrastruttura dei wallet aveva scaricato una versione compromessa di Homebrew per installare uno strumento di programmazione basato sull’intelligenza artificiale. Il team di sicurezza di Binance se ne era accorto e aveva gestito l’episodio, eppure gli hacker sarebbero riusciti comunque a raccogliere informazioni preziose sull’ingegnere e sui colleghi del gruppo dedicato ai portafogli.
A settembre è arrivata la seconda fase, giocata tutta sull’ingegneria sociale. Uno sviluppatore della società è stato contattato su una piattaforma per la ricerca di lavoro da qualcuno che si presentava come “Project Director”. Da lì è partito un processo di selezione dall’aspetto del tutto credibile. Prima una videochiamata con un presunto responsabile delle risorse umane, poi un secondo colloquio via chat con quello che avrebbe dovuto essere l’amministratore delegato dell’azienda. Proprio in quest’ultima tappa il finto dirigente ha inviato al dipendente un esercizio da scaricare. Il file però nascondeva un malware, che una volta aperto ha avviato una serie di attività invisibili e di scambi con i server degli attaccanti.
Un codice sofisticato e l’attacco finale
Secondo Binance il codice malevolo era particolarmente evoluto, in grado di ricorrere a tecniche di offuscamento ed evasione pensate per sfuggire ai sistemi di rilevamento. Tra le varie operazioni avrebbe sostituito un componente autentico di uno strumento di sviluppo con una versione modificata, mascherando passo dopo passo le proprie azioni e cancellando le tracce dell’intrusione. Un lavoro silenzioso, quasi chirurgico, che ha permesso agli aggressori di restare nell’ombra per settimane.
Il 20 ottobre gli hacker avrebbero sfruttato il computer ormai infetto dello sviluppatore per servirsi di uno strumento AI interno dell’exchange. Così sono riusciti a prendere il controllo dei dispositivi di altri due ingegneri, tra cui proprio quello coinvolto nel primo episodio di giugno. Il cerchio, a quel punto, si stava chiudendo attorno ai sistemi che contavano davvero.
L’offensiva vera e propria sarebbe scattata il 29 ottobre. Gli aggressori hanno effettuato l’accesso al computer di un terzo ingegnere, hanno utilizzato le credenziali sottratte in precedenza al primo dipendente e hanno lanciato uno script malevolo con cui è stata portata a termine l’operazione ai danni di Binance.
Fonte: TecnoAndroid