🍪🍺@cookieandbeer

国際犯罪の被害に遭いかけたので注意喚起です！海外サイト(WeWorkRemotely)で良さげな案件を探していて、出会ったクライアントとビデオ通話した後「早速今の実装見てみてほしい」という話になりました。もう遅いし明日にして今日は飲むか〜と思っていたら「すぐチェックしてほしい」という連絡がpic.twitter.com/bRhXJkFEGX

🍪🍺@cookieandbeer

しょうがないにゃあ…と思いつつまずは親の顔より見た setupTest.js を見るとそこには変わり果てた姿が……偶然昼までMarkdown書き物をしてたためVSCodeの折り返しを有効にしていたので気づきましたが、普段無効にしてるときだったらこんなふうに見えるので気づくのは難しそうpic.twitter.com/fbk3og3Dml

🍪🍺@cookieandbeer

露骨に難読化されてるのでとりあえずjs-deobfuscateしてみる。Base64に毛が生えたものでキーワードを隠してるのでそれをほどいてやると、child_process.execとかrequestとかイヤな感じの文字列がいろいろ出てくる。setupTest.jsから子プロセスを起動する場面、普通はない。怪しいpic.twitter.com/zy5bA20IJZ

🍪🍺@cookieandbeer

難読化された文字列のデコード関数はn,lの2種類あり「1文字目を切り詰めてBase64デコード」と「切り詰めないでデコード」の違い。文字列リテラルとデコード関数だけ抽出して見るとこんな感じ。左からリテラル、nでデコード、lでデコード。見たところ主要なブラウザのプロファイルやkeyringとかが標的pic.twitter.com/3rjxNyw3tf

🍪🍺@cookieandbeer

Solanaのファイルもあるけど、普通にウォレット使ってるだけでこんなとこに大事な情報置くかな？　Solanaに詳しい人おしえてくださいpic.twitter.com/YSpyKTTIzj

🍪🍺@cookieandbeer

気になるのでもうちょっとだけ深掘り。execやrequestなど危なそうな関数を引数をログるだけの関数に差し替えて実行してみる。ログを見るとやはりいろんなファイルを舐めて request․post() で送信してるらしい。送信先のホストも確認できるpic.twitter.com/VmreiEt5qi

🍪🍺@cookieandbeer

IPアドレスで検索すると北朝鮮のLazarus Group に使われてるホストだという説に辿り着いた。こういうフリーランスのブロックチェーンエンジニアを標的にした攻撃は今年の5月頃から流行してるらしい。完全に同一の手法ではないものの9億ドル相当の暗号資産を詐取された被害例もあるとのことpic.twitter.com/Blfo1PGznz

🍪🍺@cookieandbeer

こうしている間にも「もう実行した？？？」と連絡がくる。Telegramでの連絡を希望なのも改めて考えたら怪しいんだけど、Google Meetsで通話もしていたので極端に不審には思わなかった。ただ、通話はカメラオフだったpic.twitter.com/kKTAZqvmHr

🍪🍺@cookieandbeer

実は類似の事例が直近もう1件あって、ほぼ同様の流れで同じようなコードベース（一方はReact/Express, もう一方はNext）だった。攻撃コードの配置場所にも違いがある。こっちのコードはまだ精査してないけど、同種の手法とみて良さそう。このアドレスも北朝鮮の攻撃グループと関連づける記事があるpic.twitter.com/Odia6wfgSc

🍪🍺@cookieandbeer

この攻撃者には「ウォレットが入ってるPCと入ってないPC、どっちで作業したほうが良いですか？😊」とカマをかけてみた。前者を激推ししてくると思いきや、意外に「どちらでもOK」との返事。ただし「早ければ早いほど良い」ともいうpic.twitter.com/TBS2awJgkk

🍪🍺@cookieandbeer

マルウェアを仕込まれてしまった可哀想な会社の可能性を排除するために「なんか変なコード入ってますよ」と伝えてあげたところ、それ以降の連絡はなかった。とはいっても、踏み台被害に気づいて法務担当者と協議中の可能性もあるので、相手の特定に繋がる情報は伏せておきます

🍪🍺@cookieandbeer

察するに、この人たちは北朝鮮のハッカーではなく、Lararus Groupが作ったツールを使って攻撃しデータの不正送信に成功すれば報酬を受け取れる約束で動くいわば「受け子」のようなポジションで、より期待利益の高いPCを攻撃することにこだわらなかったのはそのためではないか

🍪🍺@cookieandbeer

ブロックチェーン開発者が期待利益の高い標的集団なのかはともかく、一般に開発者は他人が書いたコードを実行したりインターネットから curl で持ってきたスクリプトを実行する機会が多く、抵抗感を持ちづらい。フリーランサーとの契約に際してという状況も加味して違和感を抱きづらいシナリオだと思う

🍪🍺@cookieandbeer

開発者一般でいえば潜在的な攻撃リスクに気付きやすい集団でもあるので成功率が特に高いかは微妙だが、ブロックチェーン開発者は暗号資産で報酬を受け取る場面がままあり、DEXの存在や相対取引に第三者を介する余地が少なく送金が成功しやすいとすれば、総合的な期待利益は通常より大きいのかも

🍪🍺@cookieandbeer

Reddit などでは何度か見かけているものの、日本語の記事等はあまり見つけられなかったので書いてみました。皆さんもソーシャルエンジニアリングにはぜひ気をつけてください。良い夏を。

🍪🍺@cookieandbeer

追記。攻撃コードはGitHubリポジトリへの招待で共有されました。どちらも既にサポートに通報済みで、現時点でアクセス不可です(通報より処分されたのか相手が勘付いて正体取り消したのかは不明）。どちらもコミット1件のみで「スキルテスト用の抜粋コード」との説明がありました。

🍪🍺@cookieandbeer

また、私が見たのとは別にほぼ同じ攻撃コードを含む別のリポジトリが現存していて(案件名でググったら出てきた)攻撃用のツールとして出回っているという仮説を支持しているように思います。誤って実行してしまう危険があるのでURLは伏せますが、興味ある方には個別に伝えます

🍪🍺@cookieandbeer

個人的に気になるのは、攻撃コードをリポジトリに直接含む必要性。JS開発者は流れるようにnpm installするので、攻撃コード入りのnpmパッケージを作って依存関係に入れとけばリポジトリには不審なコードが一切なくても攻撃は成功するのでは。報酬分配用に末端攻撃者を区別するIDを入れたりしたいのかな

🍪🍺@cookieandbeer

なおWeWorkRemotelyにも通報しましたが、今のところ案件ページは掲載されたままです😇同サイトを使用している方は危険回避のためにDMで当該会社名お伝えできます(まだ攻撃者と断定できないので公には書かないことにします)

🍪🍺@cookieandbeer

類似の事例。これはビデオ通話を装う攻撃アプリをダウンロードさせる手法でまだ警戒できる。作業対象のソースコードに難読化コードを仕込む手法もあって、開発者だと警戒緩みがちx.com/cheenanet/stat…

Cheena@cheenanet

日本のWeb3ベンチャーキャピタル社員のアカウントを(おそらく)ハッキングして、その界隈で仕事のオファーを装って通話ソフトウェアをダウンロードさせウォレットから資金を盗む手口。最近も似たの見たけど実在の垢盗んで連絡取るのは初めて見た。ご本人の垢がその時期で転生してるし本物だったんだろうx.com/h4wk10/status/…

2024-07-20 15:42:54

Cheena@cheenanet

日本のWeb3ベンチャーキャピタル社員のアカウントを(おそらく)ハッキングして、その界隈で仕事のオファーを装って通話ソフトウェアをダウンロードさせウォレットから資金を盗む手口。最近も似たの見たけど実在の垢盗んで連絡取るのは初めて見た。ご本人の垢がその時期で転生してるし本物だったんだろうx.com/h4wk10/status/…

h4wk@h4wk10

Hey guys,Today, I had a terrible experience to share... I was scammed over $10K++ !!!A few days ago, a Japanese guy using the name "0xTakumi" (x.com/negitamai?s=20), who used the image below as his profile picture on his company website, contacted me and expressed an interest in working with me.He also sent me information about his company (website:skyland.vc ) and his team.He scheduled a video call with me today at 8:00 p.m. (Australian time). (Before meeting with him, I had researched information about his real identity, such as his Facebook account and the company.)When the meeting time arrived, he said he was in China and would be unable to video call with me via “Kakao”. If we have to make international calls, I'll need to install another version of Kakao.After that, he sent me the software link named “Kakao Corporate”. At first, I refused to install the program, but he convinced me that it was just a chat program that most people in China use to call international people.After I installed the program, the money in my all wallets got drained (all my Phantom and Metamask wallets). Within 10 minutes, my money was drained out of more than 10k++ USD *from multiple tokens*. Moreover, the software automatically cuts off my internet. I can only transfer money distributed on multiple platforms to my hardware wallet using my another laptop.He also hacked my X’s account. He deleted my posts, and all my chats, and blocked some of my followers and following. Even though I can now recover my account, all of my chat and many of my posts are deleted.I hope my experience is useful to everyone.Please live your life carefully.

2024-07-20 02:16:47