https://www.bleepingcomputer.com/news/security/coinbase-cyberattack-targeted-employees-with-fake-sms-alert/

Nền tảng trao đổi tiền điện tử Coinbase đã tiết lộ rằng một tác nhân đe dọa không xác định đã đánh cắp thông tin đăng nhập của một trong những nhân viên của họ nhằm cố gắng giành quyền truy cập từ xa vào hệ thống của công ty.

Công ty cho biết sau khi xâm nhập, kẻ tấn công đã lấy được một số thông tin liên hệ của nhiều nhân viên Coinbase, đồng thời cho biết thêm rằng tiền và dữ liệu của khách hàng vẫn không bị ảnh hưởng.

Các biện pháp kiểm soát không gian mạng của Coinbase đã ngăn kẻ tấn công giành được quyền truy cập trực tiếp vào hệ thống và ngăn chặn mọi tổn thất về tiền hoặc xâm phạm thông tin khách hàng. Chỉ một lượng dữ liệu hạn chế từ thư mục công ty của chúng tôi bị lộ -Coinbase

Coinbase đã chia sẻ kết quả điều tra của họ để giúp các công ty khác xác định chiến thuật, kỹ thuật và thủ tục (TTP) của tác nhân đe dọa và thiết lập các biện pháp phòng vệ thích hợp.

chi tiết tấn công

Kẻ tấn công đã nhắm mục tiêu vào một số kỹ sư Coinbase vào Chủ nhật, ngày 5 tháng 2 bằng các cảnh báo SMS thúc giục họ đăng nhập vào tài khoản công ty của mình để đọc một tin nhắn quan trọng.

Trong khi hầu hết nhân viên bỏ qua các tin nhắn, một trong số họ đã mắc lừa và nhấp vào liên kết đến một trang lừa đảo. Sau khi nhập thông tin đăng nhập, họ được cảm ơn và nhắc bỏ qua tin nhắn.

Trong giai đoạn tiếp theo, kẻ tấn công đã cố gắng đăng nhập vào hệ thống nội bộ của Coinbase bằng thông tin đăng nhập bị đánh cắp nhưng không thành công vì quyền truy cập được bảo vệ bằng xác thực đa yếu tố (MFA).

Khoảng 20 phút sau, kẻ tấn công chuyển sang chiến lược khác. Họ đã gọi cho nhân viên tự xưng là từ nhóm CNTT Coinbase và hướng dẫn nạn nhân đăng nhập vào máy trạm của họ và làm theo một số hướng dẫn.

"Thật may là không có khoản tiền nào bị lấy đi và không có thông tin khách hàng nào bị truy cập hoặc xem, nhưng một số thông tin liên hệ hạn chế của nhân viên chúng tôi đã bị lấy cắp, cụ thể là tên nhân viên, địa chỉ e-mail và một số số điện thoại" -Coinbase

CSIRT của Coinbase đã phát hiện hoạt động bất thường trong vòng 10 phút kể từ khi bắt đầu cuộc tấn công và liên hệ với nạn nhân để hỏi về các hoạt động bất thường gần đây từ tài khoản của họ. Nhân viên này sau đó nhận ra có điều gì đó không ổn và chấm dứt liên lạc với kẻ tấn công.

bảo vệ

Coinbase đã chia sẻ một số TTP quan sát được mà các công ty khác có thể sử dụng để xác định một cuộc tấn công tương tự và chống lại nó:

• Bất kỳ lưu lượng truy cập web nào từ tài sản công nghệ của công ty đến các địa chỉ cụ thể, bao gồm sso-.com, -sso.com, login.-sso.com, dashboard-.com và *-dashboard.com.
• Mọi nội dung tải xuống hoặc thử tải xuống của trình xem máy tính từ xa cụ thể, bao gồm AnyDesk (anydesk dot com) và ISL Online (islonline[.]com)
• Mọi nỗ lực truy cập tổ chức từ nhà cung cấp VPN bên thứ ba, cụ thể là Mullvad VPN
• Cuộc gọi điện thoại/tin nhắn văn bản đến từ các nhà cung cấp cụ thể, bao gồm Google Voice, Skype, Vonage/Nexmo và Bandwidth
• Bất kỳ nỗ lực không mong muốn nào để cài đặt các tiện ích mở rộng trình duyệt cụ thể, bao gồmChỉnh sửa Cookie này

Will Thomas của Trung tâm phân tích mối đe dọa Equinix (ETAC)thành lập một số miền bổ sung theo chủ đề Coinbase phù hợp với mô tả công ty, có thể đã được sử dụng trong cuộc tấn công:

• sso-cbhq[.]com
• sso-cb[.]com
• coinbase[.]sso-cloud[.]com

Điều đáng chú ý là phương thức hoạt động của kẻ tấn công tương tự như những gì được quan sát thấy trong quá trìnhScatter Swine/0ktapus chiến dịch lừa đảo năm ngoái và Coinbase tin rằng cùng một tác nhân đe dọa chịu trách nhiệm cho cuộc tấn công.

Theo công ty an ninh mạng Group-IB, kẻ đe dọa đã đánh cắp gần 1.000 thông tin đăng nhập truy cập của công ty bằng cách gửi các liên kết lừa đảo qua SMS cho nhân viên công ty.

Nhân viên của các công ty quản lý tài sản kỹ thuật số và có sự hiện diện trực tuyến mạnh mẽ chắc chắn sẽ là mục tiêu của các tác nhân kỹ thuật xã hội vào một thời điểm nào đó.

Áp dụng biện pháp phòng thủ nhiều lớp có thể khiến một cuộc tấn công trở nên đủ thách thức để hầu hết các tác nhân đe dọa từ bỏ. Triển khai bảo vệ MFA và sử dụng mã thông báo bảo mật vật lý có thể giúp bảo vệ cả tài khoản của người tiêu dùng và công ty.