Эстонский поставщик услуг крипто-платежей CoinsPaid обнаружил, что печально известная хакерская группа Lazarus провела шесть месяцев, отслеживая и изучая платформу, прежде чем атаковать 22 июля.
ConsPaid сотрудничала с компанией Match Systems, специализирующейся на кибербезопасности, чтобы ежеминутно отслеживать действия преступников, а также определять, какие службы и платформы использовались для отмывания средств. В пресс-релизе, предоставленном CryptoPotato, платформа сообщила, что Lazarus Group потратила полгода, пытаясь проникнуть в системы CoinsPaid и найти уязвимости.
Организация кражи 37,3 млн долларов
С марта CoinsPaid подвергался постоянным безуспешным атакам разного рода, от социальной инженерии до DDos и BruteForce. В тот же период к ключевым инженерам компании обратилась организация, выдававшая себя за украинский стартап по обработке криптовалюты, с запросами, связанными с технической инфраструктурой. Это взаимодействие было подтверждено тремя ключевыми разработчиками CoinsPaid.
В апреле и мае CoinsPaid столкнулась с четырьмя серьезными атаками на ее системы, целью которых было получение несанкционированного доступа к учетным записям, принадлежащим как сотрудникам компании, так и ее клиентам. В пресс-релизе говорится, что спам и фишинговые действия против членов команды были постоянными и крайне агрессивными.
В следующем месяце, в июне и июле, была организована злонамеренная кампания, которая включала комбинацию подкупа и фиктивных предложений о трудоустройстве, направленных против ключевых сотрудников компании.
7 июля злоумышленник начал тщательно спланированную и осуществленную атаку на инфраструктуру и приложения CoinsPaid. Атака, которая произошла между 20:48 и 21:42, продемонстрировала беспрецедентный всплеск сетевой активности, зафиксировав заражение более 150 000 различных IP-адресов.
Отслеживание атаки
Основной целью преступников было обманом заставить ключевого сотрудника установить программное обеспечение, что позволило бы ему установить удаленный контроль над компьютером, проникнув во внутренние системы CoinsPaid и получив доступ к ним. Несмотря на шесть месяцев безуспешных попыток, 22 июля злоумышленникам удалось взломать его инфраструктуру, что привело к убыткам в размере 37,5 млн долларов США.
Злоумышленники использовали очень сложные и эффективные методы социальной инженерии, чтобы получить доступ к компьютеру сотрудника. Рекрутеры из криптовалютных компаний связались с сотрудниками CoinsPaid через LinkedIn и различные мессенджеры, предлагая заманчиво высокие зарплаты.
После того как один из ее сотрудников ответил на предложение о работе от имени Crypto.com, он получил тестовое задание, требующее установки приложения с вредоносным кодом. При открытии тестового задания с компьютера были украдены профили и ключи сотрудника для установления соединения с инфраструктурой CoinsPaid.
Доступ позволил хакерам создавать авторизованные запросы на вывод средств из горячих кошельков CoinsPaid. Но злоумышленники не смогли взломать горячие кошельки и получить закрытые ключи для прямого доступа к средствам.
«Внутренние меры безопасности привели в действие систему сигнализации и позволили нам быстро остановить вредоносную активность и выбросить хакеров за периметр компании».
CoinsPaid далее заявила, что, несмотря на то, что криптокомпании соблюдают меры KYC и используют системы оценки рисков блокчейна для обнаружения подозрительной активности, преступникам все же удалось успешно отмыть украденные средства.
Компания указывала на группу Lazarus, поскольку хакеры использовали аналогичную тактику при ограблении Atomic Wallet.
Сообщение Lazarus Group потратила шесть месяцев, пытаясь проникнуть в системы CoinsPaid на предмет уязвимостей: отчет впервые появился на CryptoPotato.
