Я в прошлом посте про взлом Binance предполагал, что у них в инфраструктуре колхоз и адище, а сотрудники творят безответственную дичь, но реальность оказалась даже веселее. 🙂
🔻 В сентябре 2026 года через легитимную платформу для поиска работы с инженером-программистом B связался человек, представившийся директором проекта. В профиле инженера был указан опыт работы в Binance, что, вероятно, привлекло внимание злоумышленника. Под предлогом трудоустройства он организовал два этапа собеседования с этим инженером-программистом: сначала с представителем отдела кадров, а затем с человеком, назвавшимся генеральным директором вымышленной компании.
На первом этапе собеседование проходило по видеосвязи. Чтобы завоевать доверие инженера B, собеседник поделился с ним своим аккаунтом в социальной сети, где были размещены личные фотографии и видеозаписи. Такой подход отличался большей изощрённостью по сравнению с ранее известными методами социальной инженерии и позволял убедительнее имитировать реальный процесс найма.
Второе собеседование проходило в популярном мессенджере. Ближе к его завершению инженеру B предложили скачать на рабочий компьютер "тестовое задание", которое на самом деле представляло собой репозиторий с вредоносным кодом. Вредоносный код выполнялся в процессе настройки окружения, запуская цепочку несанкционированных действий. Для сокрытия своей активности вредоносная программа использовала сложные методы обфускации и обхода средств защиты. В частности, злоумышленники подменили компонент легитимного инструмента разработки его вредоносной версией, что позволило выполнять команды и устанавливать соединение с внешним сервером, находящимся под их контролем. На момент атаки вредоносная программа не обнаруживалась установленными на компьютере средствами защиты конечных устройств. 👍 Кроме того, злоумышленники предприняли меры по сокрытию своих действий и удалению следов компрометации, существенно осложнив обнаружение инцидента и его последующее расследование. 🙂
🔻 20 октября 2026 года злоумышленник воспользовался скомпрометированным компьютером инженера B и внутренним ИИ-инструментом, чтобы получить доступ к компьютерам инженера DevOps команды Wallet A (про этого уникума пишут, что в июне он скачал подменённый зловредный установщик Homebrew - популярного менеджера пакетов для macOS, но тогда атаку успели обнаружить 😏) и инженера-программиста команды Wallet C. Вскоре злоумышленник обнаружил, что на компьютере инженера DevOps команды Wallet A хранился токен, предоставляющий права на развёртывание контейнеров. 🤷♂️
🔻 29 октября с 17:15 до 19:56 злоумышленник получил доступ к компьютеру инженера-программиста C, воспользовался учётными данными, похищенными у инженера DevOps команды Wallet A, и развернул контейнер, из которого запустил вредоносный скрипт для проведения атаки. И заверте…
Какие уроки можно извлечь из этой истории?
🔹 Не запускайте непроверенный код и скрипты из сторонних репозиториев на рабочих устройствах. Особенно если речь идёт о "тестовых заданиях" от левых интервьюеров.
🔹 Не храните критичные секреты на десктопах. Ограничивайте права доступа и сроки действия токенов.
🔹 Контролируйте доступ ИИ-инструментов к данным, системам и выполнению команд.
🔹 Отслеживайте аномальную активность и несанкционированные изменения в системе.
🔹 Инвестируйте в IT и ИБ (особенно, когда миллиардами ворочаете). Не работайте с идиотами или хотя бы пытайтесь их обучать. 😉
Привет! Меня зовут Александр. Я специалист по Управлению Уязвимостями. Подробнее обо мне можно и моих проектах можете прочитать здесь. Приглашаю подписаться на мой канал @avleonovrus "Управление Уязвимостями и прочее" в MAX или в Telegram. Вы можете обсудить мои посты или задать вопросы в группе ВКонтакте.
And I invite all English-speaking people to another Telegram channel @avleonovcom.