Η αρχιτεκτονική της επίθεσης: Από το phishing στις εξελιγμένες συνεντεύξεις

Η πρόσφατη παραβίαση-μαμούθ στο χρηματιστήριο κρυπτονομισμάτων Binance ανέδειξε τα όρια των παραδοσιακών εργαλείων ασφαλείας στα τελικά σημεία (endpoints). Σύμφωνα με την επίσημη αναφορά περιστατικού, η εκστραία δεν αποτέλεσε μεμονωμένο περιστατικό phishing, αλλά μια πολυεπίπεδη εκστρατεία (multi-stage campaign) που ξεκίνησε μήνες πριν με μια μολυσμένη εγκατάσταση Homebrew και αποκορυφώθηκε μέσω μιας περίτεχνης πλάνης πρόσληψης.

Οι επιτιθέμενοι, που συνδέονται με την ομάδα Lazarus, χρησιμοποίησαν πλασματικές συνεντεύξεις με δήθεν στελέχη εταιρειών, εκμεταλλευόμενοι ψεύτικα προφίλ social media για την οικοδόμηση εμπιστοσύνης. Στον τελικό γύρο, ο μηχανικός κλήθηκε να κατεβάσει και να εκτελέσει κώδικα αξιολόγησης σε επαγγελματικό υπολογιστή.

Τεχνική ανάλυση του malware και η παράκαμψη του endpoint detection

Το κακόβουλο payload στόχευσε άμεσα το περιβάλλον ανάπτυξης του μηχανικού, αντικαθιστώντας νόμιμα στοιχεία του εργαλείου διαχείρισης εκδόσεων Python (pyenv). Συγκεκριμένα, το σενάριο εκτέλεσε τις εξής ενέργειες:

CREATE /opt/homebrew/Cellar/pyenv/2.8.0/libexec/pyenv_
MODIFY pyenv_ -> 3,414 B
DELETE .../libexec/pyenv (3,344 B) 
RENAME pyenv_ -> pyenv (3,414 B)
DELETE /opt/homebrew/bin/pyenv (3,414 B)
ln (create a new symlink) + spawn zsh

Αυτή η μέθοδος απέφυγε την άμεση ανίχνευση από τα συστήματα ασφαλείας του endpoint, επιτρέποντας στους εισβολείς να αποκτήσουν σταθερό έδρανο και να συνδεθούν σε εξωτερικό server ελέγχου (C2).

Οριζόντια κίνηση μέσω εσωτερικών εργαλείων AI και container tokens

Αφού απέκτησαν πρόσβαση στον πρώτο σταθμό εργασίας, οι εισβολείς χρησιμοποίησαν ένα εσωτερικό εργαλείο τεχνητής νοημοσύνης (AI tool) της εταιρείας για να εντοπίσουν ευπαθή σημεία και να κινηθούν πλευράς προς άλλα κρίσιμα τμήματα της ομάδας υποδομής (wallet DevOps).

Εντοπίζοντας ένα ενεργό token αδειοδότησης ανάπτυξης container (container deployment permission token) στον υπολογιστή ενός άλλου μηχανικού, κατάφεραν να αναπτύξουν κακόβουλο container και να εκτελέσουν το σενάριο υποκλοπής των κρυπτονομισμάτων στις 29 Οκτωβρίου. Ως απάντηση, το Binance απενεργοποίησε άμεσα τα επηρεαζόμενα credentials, ανακατασκεύασε τα συστήματα wallet και ξεκίνησε συνεργασία με εταιρείες blockchain intelligence και τις αρχές επιβολής του νόμου.