CoinsPaid we współpracy z Match Systems przeprowadził szczegółowe dochodzenie w sprawie niedawnego ataku Grupy Lazarus, ujawniając szczegóły włamania i sposób prania skradzionych aktywów.
CoinsPaid, największy na świecie dostawca płatności kryptograficznych, ujawnił wyniki swojego dochodzenia w sprawie niedawnego ataku Lazarusa na jego infrastrukturę. Wyniki pokazują, że hakerzy spędzili około sześciu miesięcy na badaniu CoinsPaid i śledzeniu osobliwości usług płatniczych. Firma prześledziła również minuta po minucie działania hakerów podczas ataku i identyfikowała, które usługi i platformy były wykorzystywane do prania skradzionych środków. Na przykład 7 lipca zarejestrowano masowy atak na infrastrukturę i aplikacje CoinsPaid – w ciągu godziny zaobserwowano niezwykle wysoką aktywność sieciową obejmującą ponad 150 000 różnych adresów IP.
Aktywnie wykorzystywano również socjotechnikę. Przez całą wiosnę (firma jest atakowana od marca 2023 r.) hakerzy na różne sposoby poszukiwali szczegółów dotyczących infrastruktury technicznej. Jedna z prób uzyskania takich informacji była zamaskowana jako prośba od ukraińskiego start-upu zajmującego się przetwarzaniem kryptowalut.
Techniki socjotechniczne obejmowały również agresywne spamowanie e-maili i phishing mające na celu uzyskanie dostępu do kont członków zespołu CoinsPaid i klientów. W czerwcu i lipcu hakerzy inicjowali fałszywe zatrudnianie kluczowych pracowników firmy, wysyłając oferty na LinkedIn oraz za pośrednictwem różnych komunikatorów.
Fałszywi rekruterzy wysyłali oferty pracy z wynagrodzeniem od 16 000 do 24 000 dolarów miesięcznie. Podczas rozmowy kwalifikacyjnej „kandydaci” byli nakłaniani do zainstalowania agenta JumpCloud lub specjalnego programu do wykonywania zadań technicznych zawierających złośliwe oprogramowanie. Według raportu JumpCloud został najwyraźniej zhakowany w lipcu 2023 r., specjalnie w celu zaatakowania firm kryptowalutowych.
Warto zauważyć, że wszystkie działania były skrupulatnie zaplanowane, wyglądały niezwykle wiarygodnie i nie budziły wątpliwości w umysłach ofiar. Hakerzy spędzili pół roku badając CoinsPaid, zbierając informacje o strukturze i cechach technicznych firmy w celu stworzenia takich warunków. Ostatecznie 22 lipca 2023 roku hakerom udało się zaatakować infrastrukturę firmy. Uzyskali dostęp do komputera pracownika i uzyskali dane w celu nawiązania połączenia z infrastrukturą CoinsPaid, po czym otworzyli backdoora wykorzystując lukę w klastrze.
Raport wskazuje, że nie było sposobu na złamanie zewnętrznych zabezpieczeń systemów CoinsPaid. Atakujący nie mogli również włamać się do gorących portfeli CoinsPaid ponieważ uzyskali klucze prywatne umożliwiające bezpośredni dostęp do środków. Ale backdoor i staranne przygotowanie techniczne umożliwiły im tworzenie autoryzowanych żądań wypłaty środków z gorących portfeli. System akceptował takie żądania jako ważne, a następnie przesyłał je do łańcucha bloków w celu dalszego przetwarzania. Jakiś czas później wewnętrzne narzędzia bezpieczeństwa zasygnalizowały podejrzaną aktywność, po czym luka została wyeliminowana.
Bezpośrednio po ataku zaangażowali się specjaliści Match Systems, którzy przeprowadzili szereg działań operacyjnych w celu wyśledzenia i ewentualnego zamrożenia skradzionych środków. W ten sposób prześledzono cały łańcuch transakcji wykorzystywanych przez hakerów do prania brudnych pieniędzy. Większość aktywów, które przeszły przez usługi wymiany, miksery i Avalanche Bridge, została przeniesiona na adresy atakujących za pośrednictwem usługi SwftSwap. Stracili około 15% na opłatach i zmienności. Trwają prace nad odzyskaniem skradzionych środków.
Warto zauważyć, że socjotechnika i phishing to główne zagrożenia dla cyberbezpieczeństwa — taką opinię wyraziło 75% ankietowanych profesjonalistów podczas badania CS Hub. A specjaliści z firmy ujawnili, że w 2022 roku liczba ataków phishingowych na rynku kryptowalut wzrosła o 40% w porównaniu z rokiem poprzednim.