暗号資産取引所のBinanceは、同社の複数のソフトウェアエンジニアが標的にされていたと明らかにしました。攻撃者は巧妙なソーシャルエンジニアリングとゼロデイマルウェアを使い、数カ月にわたって攻撃を続けました。その結果、先週に過去最大規模のデジタル資産流出が発生しました。
Binanceは11月3日、X（旧Twitter）に投稿した長文の声明でこの事実を公表しました。
「これは単発の侵害や単純なフィッシング事案ではありませんでした」と同社は説明しています。
「攻撃者は複数の手法を組み合わせていました。偽の採用面接によるソーシャルエンジニアリング、悪意あるソフトウェアのダウンロード、侵害された社内AIツール、エンドポイントの侵害、そして高度なトランザクション承認の手法です」
暗号資産の窃取に関するその他の記事：ハッカーがBTCPay Serverの脆弱性を悪用し、暗号資産を盗む
主な侵入口は、攻撃グループが9月に「ソフトウェアエンジニアB」（匿名）と設定した面接だったとみられます。
プロジェクトディレクターを名乗る人物が、正規の求人プラットフォームを通じてこのエンジニアに連絡しました。プロフィールから、Binanceに勤務していることを把握していたのです。
一次面接は架空の人事担当者とオンラインで行われました。Binanceによると、面接官は信頼を得るため、個人の写真や動画を投稿したソーシャルメディアのアカウントをエンジニアに共有したといいます。
同社は次のように続けています。「二次面接は一般的なソーシャルチャットアプリで行われました。面接の終盤、エンジニアBは『課題』をダウンロードするよう指示されました。これは悪意あるコードリポジトリで、業務用のコンピューターに保存されました。このリポジトリにはセットアップ時に実行される悪意あるコードが含まれており、一連の不正な活動が始まりました」（声明より）
Binanceによると、この「ゼロデイマルウェア」は難読化と検知回避の技術を使い、エンジニアのエンドポイントセキュリティツールに検知されないようにしていました。具体的には、正規の開発ツールのコンポーネントを悪意あるバージョンに置き換え、コマンドを実行してC2サーバーに接続していました。
ウォレット署名操作に至るまでの経路
10月20日、攻撃者はエンジニアBのコンピューターから社内AIツールにアクセスしました。そして、ウォレットDevOpsエンジニアAとウォレットソフトウェアエンジニアCという、他の従業員2人のマシンを侵害しました。
このうちエンジニアAは、6月にすでに標的として下調べされていました。悪意ある検索広告をクリックし、macOS向けのサードパーティ製パッケージマネージャーであるHomebrewの悪意あるバージョンを、知らずにダウンロードしていたのです。
当時、Binanceのチームは「異常を検知し、デバイスを交換し、関連する認証情報をすべてローテーションしました」。しかし、このエンジニアと同僚たちの役割は、すでにハッカーに知られていました。
エンジニアAのマシンを侵害した攻撃者は、コンテナのデプロイ権限を持つトークンが同じマシンに保存されていることを突き止めました。
報告書は次のように説明しています。「10月29日の17:15から19:56の間に、攻撃者はソフトウェアエンジニアCのコンピューターにログインしました。そしてウォレットDevOpsエンジニアAから盗んだ認証情報を使ってコンテナをデプロイし、悪意あるスクリプトを起動して攻撃を開始しました」
20:05 UTCから20:09 UTCの間に、Binanceのホットウォレット5つから、攻撃者が管理するアドレスへ2億3,346万XRPが送金されました。SolanaとOptimismのホットウォレットからも、約97万500 SOLと4,420万OPが攻撃者管理のアドレスに送られました。
事後対応
Binanceによると、影響を受けたウォレットシステムと社内AIツールを、アクセス制御も含めて再構築しました。影響を受けたデバイスも交換済みです。
このほか、エンジニアの認証情報とトークンを無効化し、従業員のデバイス全体でセキュリティスキャンを強化しました。AIによる振る舞い異常検知も改善し、ウォレットサービスのリスク管理も強めています。
同社は、今年だけで北朝鮮による攻撃の疑いがある事案を57件すでに検知し、阻止していたことも認めました。現在、今回の事案を検証しているほか、業界のパートナーとともにセキュリティ研究基金を設立しています。AIを活用した検知・防御・監視ツールへの投資もすでに拡大しました。
Fortraの専門家は、従業員、とりわけ開発者のマシンを保護するために当初導入されていた対策に疑問を投げかけています。
FortraのセキュリティR&D担当アソシエイトディレクター、タイラー・レグリー氏は次のように指摘します。「『静かな退職』が存在する今の時代、従業員が勤務時間中に面接を受けていても不思議ではありません。企業は適切な対策でこれに備える必要があります。特に、社用ノートPCでダウンロードや実行できるものへの制御と、ユーザーに付与する権限の管理が重要です」
「結局のところ、開発者のノートPCは、業務への支障を避けながら安全に制限をかけることが組織内で最も難しいデバイスの一つです。企業はそのバランスポイントを見つける必要があります」
翻訳元: https://www.infosecurity-magazine.com/news/fake-interview-software-engineer/
