211service.com
Próba napadu na Coinbase była przerażająco dobra, mimo że się nie powiodła
Ilustracja przedstawiająca rękę sięgającą po monety na ekranie monitora komputerowego Pani, Technik; Oryginalne obrazy: pexels
Kiedy w maju kilkunastu pracowników Coinbase otrzymało wiadomość e-mail od administratora z Uniwersytetu Cambridge w Wielkiej Brytanii, nic w wiadomości nie wywołało żadnych sygnałów ostrzegawczych. Ktoś o nazwisku Gregory Harris, który powiedział, że jest administratorem grantów badawczych na uniwersytecie, powiedział odbiorcom, że potrzebuje ich pomocy w ocenie kandydatów do nagrody ekonomicznej.
Niektórzy pracownicy wymieniali dodatkowe e-maile z tym kontem w ciągu następnych dwóch tygodni; nadal nic się nie dzieje. Nie wiedzieli, że to wszystko było częścią przebiegłego planu.
Ktokolwiek naprawdę stał za tym kontem, grał w długą grę, mając na celu: uzyskać dostęp do sieci zaplecza Coinbase i ukraść część kryptowalut o wartości miliardów dolarów, które firma przechowuje w imieniu swoich użytkowników. 17 czerwca atakujący wysłał kolejnego e-maila. Tym razem zawierał adres URL, który po otwarciu w przeglądarce Firefox zainstaluje złośliwe oprogramowanie, które może przejąć komputer użytkownika. Według zespołu ds. bezpieczeństwa Coinbase była to część wyrafinowanego, wysoce ukierunkowanego ataku.
Nowo opublikowane szczegóły dostarczają rzadkiego spojrzenia na anatomię ataku na giełdę kryptowalut. Zespół Coinbase zdołał wykryć i zablokować atak, zanim jakiekolwiek fundusze zostały skradzione, ale w trakcie tego procesu obrońcy odkryli, że mają do czynienia z niezwykle zręcznym wrogiem.
To, co było wyjątkowe w ataku, mówi Philip Martin, dyrektor ds. bezpieczeństwa informacji w firmie, to sam koszt i niezwykle wysoki poziom wysiłku, który za nim stoi. To dla mnie naprawdę podkreśla, jak poważnie atakujący traktują przestrzeń [kryptowaluty], mówi.
Byli to wyrafinowani profesjonaliści działający z dużym budżetem, mówi Martin. Jest to widoczne w tym, że wykorzystali dwa oddzielne, wcześniej nieznane błędy – znane również jako luki dnia zerowego – w przeglądarce Firefox Mozilli. Nie wiadomo, czy osoby atakujące w tym przypadku odkryły te luki lub w jakiś sposób je zdobyły. Ogólnie rzecz biorąc, przeglądarki zero-day nie są tanie, mówi Martin, a ich wykorzystanie wymaga wysoko wykwalifikowanych hakerów. Martin szacuje, że przeprowadzenie ataku kosztowało od pół miliona do miliona dolarów.
Wygląda na to, że Samuel Groß, badacz z Google Project Zero, zespołu ds. bezpieczeństwa zajmującego się wyszukiwaniem luk dnia zerowego, niezależnie odkrył jeden z błędów, których użyli atakujący . Zgłosił go do Mozilli 15 kwietnia. Drugi błąd pojawił się po zmianie kodu Firefoksa 12 maja. Mozilla wydała łatki dla obu z nich.
W tym przypadku szybkie odkrycie do uzbrojenia zrobiło wrażenie na Martinie, który wcześniej pracował jako kierownik ds. bezpieczeństwa informacji w Palantir. Ale to naprawdę, naprawdę, naprawdę wysokiej jakości socjotechnika ataku wyróżniała go najbardziej: to największy wysiłek, jaki widziałem w fazie socjotechniki, kropka.
Używając zhakowanych akademickich adresów e-mail, osoby atakujące ominęły popularne narzędzia do filtrowania i wykrywania spamu. Kolejna korespondencja między napastnikami a ich śladami odbywała się w ciągu kilku tygodni. Większość osób, które były celem ataków, uważała, że mają autentyczną interakcję z ludźmi — wiadomości miały charakter osobisty i odnosiły się do przeszłości osób, które zostały wyłudzone. Osoby atakujące najwyraźniej stworzyły nawet strony LinkedIn dla swoich fałszywych tożsamości.
Zdemaskowanie cybernapastników jest bardzo trudne, ale zespół Martina uważa, że winna może być mroczna grupa o nazwie HYDSEVEN, która od 2016 roku była powiązana z kilkoma atakami na giełdy kryptowalut. Niewiele wiadomo o tej grupie poza jej powinowactwem do przesuwania cyfrowych monet, ale według A ostatni raport z japońskiej firmy ochroniarskiej LAC, HYDSEVEN był również powiązany z atakami w Japonii i Polsce.
Ponieważ kradną pieniądze, zamiast przeprowadzać szpiegostwo lub realizować inne cele wojskowe, Martin mówi, że prawdopodobnie są grupą przestępczą, a nie sponsorowaną przez państwo. Ale znani są również hakerzy wspierani przez państwo, którzy atakują giełdy kryptowalut – według nowego raportu ONZ, Korea Północna wygenerowała szacunkowo 2 miliardy dolarów za pomocą powszechne i coraz bardziej wyrafinowane cyberataki w celu kradzieży z banków i giełd kryptowalut.
Jeśli chodzi o ich możliwości, nie ma wyraźnego rozróżnienia między hakerami sponsorowanymi przez państwo a najbardziej wyrafinowanymi grupami przestępczymi, mówi Martin. Tak czy inaczej, ataki takie jak ten pokazują, że firmy zajmujące się kryptowalutami muszą być przygotowane do odparcia wysoko wykwalifikowanych napastników, którzy mogą wykorzystywać nieznane wcześniej luki. bardziej wyrafinowani napastnicy.