北朝鮮の偽面接が63億ドルのBinance強奪につながる

北朝鮮の偽面接が63億ドルのBinance強奪につながる

REG AD

[

セキュリティ

](https://www.theregister.com/tag/security)

「単一の孤立した侵害や単純なフィッシング事件ではありませんでした」と取引所は述べています

北朝鮮の仮想通貨窃盗団が、先週発生した記録的な63億ドルの強奪事件の前に、Binanceのソフトウェアエンジニアを偽の職務経歴面接プロセス中に、業務用のコンピューターにマルウェアをダウンロードさせたとされています。

火曜日に公開されたインシデントレポートによると、仮想通貨取引所は、偽の職務経歴面接を通じたソーシャルエンジニアリング、マルウェアのダウンロード、侵害された社内AIツールの利用、エンドポイントの乗っ取り、「高度なトランザクション認証方法」など、複数の技術が10月29日のセキュリティ侵害につながったと述べています。

「現在の調査では、これは巧妙で多段階のキャンペーンであったことが示唆されています」とインシデントレポートは述べています。「単一の孤立した侵害や単純なフィッシング事件ではありませんでした」。

REG AD

週末にかけて、FBIは、諜報活動と大規模な仮想通貨強奪を組み合わせることで知られるLazarus Groupに関連付けられている北朝鮮のハッキング組織TraderTraitorにこの窃盗事件を帰属させました。ピョンヤン（平壌）支援のクルーは、職市場の詐欺にも非常に長けており、ITワーカーを装って（西側企業に採用される）、あるいは潜在的な雇用主としてソフトウェアエンジニアを誘い込み、マルウェアのダウンロードや企業デバイスへの感染を引き起こしています。

REG AD

最近のBinance攻撃では、北朝鮮側は後者の手口を用いました。

攻撃の準備は6月にサプライチェーン攻撃から始まりました。その際、エンジニアの一人が悪意のあるHomebrewのインストールをダウンロードしました。マルウェアはセキュリティチームによって検出されましたが、デバイスは交換され、影響を受けたすべての認証情報はローテーションされました。「エンジニアAの役割と、ウォレットインフラチームの関連同僚がハッカーに露呈しました」とレポートは述べています。

3ヶ月後、攻撃のソーシャルエンジニアリング部分が発生しました。

9月、別のソフトウェアエンジニアが「正規の求職プラットフォーム」を通じて、偽の会社のプロジェクトディレクターを名乗る人物から連絡を受け、Binanceエンジニアのために一連の面接を手配しました。最初のラウンドでは、エンジニアと偽のHR担当者とのライブビデオ面接中に、面接官は「信頼関係を築くために、そのプラットフォームに投稿された個人的な写真や動画を含むソーシャルメディアアカウントを共有しました」とレポートは述べています。「これは、以前に見られたソーシャルエンジニアリングのアプローチよりも高度で欺瞞的でした」。

偽の会社のCEOを名乗る人物との2回目の面接は、「人気のソーシャルチャットアプリ」で行われ、終盤にCEOはエンジニアにマルウェアが仕込まれたコードリポジトリを含む「課題」をダウンロードするように指示しました。コードは、一連の不正なアクティビティを開始したセットアッププロセス中に、エンジニアの業務コンピューター上で実行されました。

Binanceによると、マルウェアは正規の開発ツールコンポーネントを悪意のあるバージョンに置き換え、攻撃者が制御する外部サーバーとの通信を確立しました。攻撃者はまた、悪意のあるスクリプトを隠蔽し、検出を回避するための措置を講じましたが、それは成功しました。Binanceのエンドポイントセキュリティツールは、マルウェアをすぐに検出しませんでした。

以下がそのスクリプトです：

CREATE  /opt/homebrew/Cellar/pyenv/2.8.0/libexec/pyenv_

REG AD

MODIFY  pyenv_ → 3,414 B

DELETE  .../libexec/pyenv  (3,344 B)     ← 有効なpyenvを削除
RENAME  pyenv_ → pyenv  (3,414 B)  ← 悪意のあるバージョンに置き換え
DELETE  /opt/homebrew/bin/pyenv  (3,414 B)
ln  (新しいシンボリックリンクを作成)  +  spawn zsh

その後、10月20日、犯人たちは侵害されたコンピューターと社内AIツールを使用して、ウォレットDevOpsエンジニアAと別のウォレットソフトウェア開発者であるエンジニアCのコンピューターにアクセスしました。

エンジニアAのコンピューターにはコンテナデプロイメント権限トークンがあり、北朝鮮側はすぐにそれを見つけました。10月29日、攻撃者はエンジニアCのコンピューターにアクセスし、エンジニアAから盗んだ認証情報を使用してコンテナをデプロイし、仮想通貨窃盗攻撃を開始するスクリプトをトリガーしました。

火曜日の時点で、Binanceは侵害されたウォレットシステムと社内AIツールを再構築し、影響を受けたすべてのデバイスを交換したと述べています。また、侵害されたエンジニアに割り当てられたすべての認証情報とトークンを廃止し、法執行機関、ブロックチェーンインテリジェンス企業、セキュリティ研究者と協力して資産を追跡し、凍結しています。

REG AD

この仮想通貨取引所はまた、独立したサイバーセキュリティ専門家を雇い、インシデントのサイバーセキュリティレビューを実施し、追加の保護措置を推奨しています。Binanceは、AI企業やセキュリティショップと協力して、ブロックチェーン環境におけるAIセキュリティに焦点を当てたセキュリティ研究基金やイニシアチブを設立することも目指していると述べています。®

---