O ofertă de angajare primită pe
LinkedIn poate ascunde mai mult decât o oportunitate profesională.
O grupare de hackeri a început să contacteze ingineri software din
domeniul aviației și al tehnologiei financiare, prezentându-se
drept recrutori ai unor companii mari.
Un anunț de angajare pe LinkedIn poate ascunde o capcană întinsă de un hacker Foto: Profimedia
Potrivit celei mai recente analize realizată de specialiști în securitate cibernetică, candidații sunt invitați să
rezolve un test de programare, dar fișierul pe care îl descarcă
ascunde un program care le poate oferi atacatorilor acces la
calculator.
Totul
începe cu un mesaj de la un recrutor
Atacul începe într-un loc în care
mulți profesioniști sunt obișnuiți să primească astfel de
mesaje: LinkedIn.
Hackerii își construiesc profiluri
care par să aparțină unor specialiști în recrutare și
contactează ingineri software care lucrează în special în aviație
și tehnologie financiară, se arată în raport. Mesajul este unul familiar: există o
oportunitate de angajare, iar candidatul este invitat să treacă
printr-o evaluare tehnică.
La prima vedere, nimic nu pare
neobișnuit. Candidatul primește apoi un link
pentru a descărca un test de programare. Fișierul este găzduit pe
un serviciu legitim de stocare online al Amazon, ceea ce poate
contribui la impresia că este vorba despre un material trimis în
cadrul unui proces normal de recrutare.
Apoi apare un element menit să
grăbească lucrurile: candidatul are la dispoziție între una și
trei ore pentru a finaliza testul.
Presiunea
timpului face parte din înșelătorie
Graba nu este întâmplătoare.
Candidatul este avertizat și să nu folosească asistenți de
programare bazați pe inteligență artificială.
Într-un proces real de recrutare, o
astfel de cerință poate părea perfect plauzibilă. În acest caz
însă, are un rol suplimentar: împiedică victima să folosească
un instrument care ar putea identifica elementele suspecte ascunse în
fișierele testului.
Astfel, persoana care primește testul
este pusă într-o situație foarte simplă: are puțin timp la
dispoziție și trebuie să se concentreze asupra exercițiului.
Descarcă fișierul, îl deschide și
începe să lucreze.
În acel moment începe, de fapt,
atacul.
În timp ce candidatul rezolvă
exercițiile, programul ascuns poate începe să funcționeze pe
calculator fără ca acesta să-și dea seama.
„Testul
de programare” deschide ușa către calculator
Gruparea din spatele atacurilor, Mirage
Kitten, și-a schimbat în același timp și instrumentele folosite
pentru a infecta calculatoarele.
Cercetătorii au identificat două
programe noi, numite NodeRabbit și PollCat. Ambele pot permite
accesul de la distanță la calculatorul victimei.
În termeni simpli, atacatorii pot
ajunge să controleze anumite funcții ale sistemului, să caute
informații și să transmită date către exterior.
NodeRabbit este ascuns în pachete de
software care pot părea normale pentru un programator. După
instalare, încearcă să rămână pe calculator și după ce
victima închide sau repornește sistemul.
Pentru asta, atacatorii folosesc
inclusiv instrumentele pe care dezvoltatorii le utilizează în mod
obișnuit pentru a scrie cod.
De exemplu, pot instala extensii false
în Visual Studio Code, unul dintre cele mai populare programe
folosite de programatori. În alte situații, pot modifica fișierele
locale ale proiectelor la care lucrează dezvoltatorul, astfel încât
programul malițios să pornească din nou atunci când acesta își
salvează sau actualizează codul.
Cu alte cuvinte, atacatorii încearcă
să ascundă programul printre activitățile obișnuite ale
victimei.
O
parolă trimisă de „recrutor” declanșează atacul
PollCat folosește o altă metodă. Candidatul primește o parolă de unică
folosință de la presupusul recrutor și este rugat să o introducă
pentru a putea deschide testul.
Și aici totul pare să facă parte din
procesul de recrutare.
În realitate, după introducerea
parolei, programul începe să caute informații despre calculator și
fișierele de pe acesta. Verifică directoare și transmite date
către atacatori.
Este o abordare care exploatează un
comportament foarte obișnuit: atunci când cineva participă la un
proces de angajare, este tentat să urmeze instrucțiunile primite
pentru a nu pierde oportunitatea.
De ce
sunt vizați programatorii
Alegerea victimelor este legată și de
tipul de acces pe care îl au dezvoltatorii în cadrul companiilor.
Un inginer software poate avea acces la
proiecte, cod, instrumente interne și alte resurse importante pentru
organizația în care lucrează.
În plus, instalarea unor programe și
pachete noi face parte din activitatea lor obișnuită. Un test de
programare pare, prin urmare, mai puțin suspect decât un fișier
complet necunoscut trimis prin e-mail.
„Dezvoltatorii dețin de obicei
privilegii de acces ridicate în rețelele companiilor, ceea ce îi
face o țintă extrem de valoroasă pentru operațiunile avansate de
spionaj cibernetic”, spune Omar Amin, expert în securitate în
cadrul GReAT.
Hackerii
nu mai țintesc doar Windows
Un alt detaliu important al noii
campanii este schimbarea instrumentelor folosite de grupare.
Până acum, Mirage Kitten folosea în
principal programe concepute pentru calculatoare cu Windows. Noile
instrumente sunt construite astfel încât să poată funcționa și
pe macOS și Linux.
Hackerii armatei ruse au spart emailuri ale aviației române
Pentru victime, acest lucru înseamnă
că sistemul de operare nu mai reprezintă aceeași barieră pentru
atacatori.
Cercetătorii au identificat programele
malițioase în atacuri care au vizat în principal sectoarele
aviației și tehnologiei financiare din Egipt, Etiopia și
Afganistan. Au fost găsite însă și în Germania, Turcia, Israel,
India și Irlanda.
O
înșelătorie construită să pară cât mai normală
Povestea este construită din elemente
pe care un profesionist le poate întâlni în mod normal.
Un mesaj pe LinkedIn. Un recrutor. O
companie cunoscută. Un test de programare. Un termen-limită. O
parolă pentru accesarea testului.
Niciunul dintre aceste lucruri nu este,
în sine, neobișnuit.
Problema apare atunci când toate sunt
folosite pentru a determina victima să descarce și să deschidă un
fișier compromis.
„Este un exemplu clar al modului în
care atacatorii se adaptează la rutina profesională a victimelor”,
arată analiza Kaspersky asupra campaniei.
În cazul de față, nu curiozitatea
sau promisiunea unor bani rapizi este exploatată, ci dorința unei
persoane de a obține un loc de muncă. Iar tocmai pentru că scenariul seamănă
atât de mult cu un proces real de recrutare, capcana poate fi mai
greu de observat.
