Il portatile di un ingegnere DevOps potrebbe essere stato il primo anello della catena che ha portato al furto da 6,3 miliardi di dollari ai danni di Binance. È l’ipotesi formulata dall’exchange nelle prime verifiche, poi ridimensionata dal co-CEO Richard Teng: l’attacco non si è fermato a una singola macchina né a un singolo clic, e l’indagine ha trovato altri punti di violazione. Il caso, che l’FBI attribuisce alla Corea del Nord (la ricostruzione è nell’articolo sull’hack di Binance), riporta però l’attenzione su un bersaglio che i ricercatori indicano da tempo come privilegiato: chi sviluppa e amministra i sistemi. (BleepingComputer, BBC)
Dagli utenti ai tecnici: il cambio di bersaglio
Il sito Tech From The Net ha raccolto i commenti di vari esperti all’indomani dell’attacco. Riccardo Margarito, Threat Intelligence Lead di NAIS, vi descrive una evoluzione preoccupante: in passato i malintenzionati miravano alle componenti marginali delle aziende, oggi l’attenzione è rivolta a profili con permessi elevati su dati e infrastrutture critiche, come ingegneri IT e amministratori di sistema. Colpire la workstation di un tecnico, sostiene, apre la strada a un’offensiva su larga scala, e l’uso dell’intelligenza artificiale può accelerare la ricerca delle falle. L’avvertimento vale anche per piccole e medie imprese e fornitori di servizi gestiti, dove gli incaricati della difesa diventano gli obiettivi più sensibili.
Sulla stessa linea Georgy Kucherin, ricercatore di Kaspersky GReAT, secondo cui i tecnici restano i bersagli preferiti dei gruppi APT come Lazarus e anche il personale esperto può essere ingannato da software malevolo. Si tratta di commenti raccolti da un sito di settore: indicano un’opinione condivisa tra esperti, non una misura statistica del fenomeno.
Perché un portatile vale un’intera infrastruttura
Mackenzie Jackson, della società di sicurezza Aikido, ha spiegato alla BBC che i dispositivi degli sviluppatori vengono attaccati ogni giorno e che gli aggressori si sono spostati dall’infrastruttura aziendale alle macchine di chi la gestisce, perché lì si trovano le chiavi digitali che aprono i sistemi. Un blog di Aikido scende nei dettagli: un portatile da sviluppatore contiene le credenziali di lavoro per tutti i sistemi che il suo proprietario mantiene, cioè accessi al cloud, chiavi SSH, credenziali git e configurazioni Kubernetes, spesso salvate su disco dove qualunque processo eseguito da quell’utente può leggerle. Vi si trovano poi i token di sessione degli strumenti in uso, che possono sopravvivere al cambio della password e aggirare l’autenticazione a più fattori, perché l’accesso che la richiedeva è già avvenuto. Chi se ne impossessa può agire come l’ingegnere, e le sue azioni compaiono nei registri con il nome di quest’ultimo, quindi sembrano lavoro ordinario. (BBC, Aikido)
Aikido stessa chiarisce un limite: le dichiarazioni pubbliche di Binance non dicono come sia stato compromesso il portatile, e la catena che descrive, dal laptop a un servizio autorizzato a inviare prelievi, è una sequenza plausibile e non la ricostruzione dell’attacco reale. I prelievi, aggiunge Jackson, passerebbero per un canale legittimo e potrebbero apparire di routine.
Come si arriva ai tecnici
Secondo Aikido, i gruppi legati alla Corea del Nord sono noti per colpire direttamente gli sviluppatori, spesso con un finto colloquio di lavoro che include un test di programmazione da svolgere a casa: eseguire il progetto avvia il codice dell’aggressore. Un’altra strada passa per i pacchetti software malevoli, che possono contenere uno script eseguito automaticamente all’installazione, e per le estensioni malevole degli editor di codice, che girano dentro gli strumenti stessi dello sviluppatore. La società afferma di aver bloccato in una settimana quasi 500 attacchi malware sui dispositivi degli sviluppatori, circa 70 al giorno, un dato aziendale che non si può verificare in modo indipendente.
Il tema non è nuovo su queste pagine. Il rapporto tra il mondo IT e gli hacker nordcoreani ha un altro volto nell’operazione dell’FBI contro i falsi lavoratori informatici descritta nell’articolo su Famous Chollima, mentre i segreti custoditi dagli sviluppatori sono al centro della campagna Gheist, che usa token GitHub rubati descritta da Wiz.
Le contromisure indicate
Le indicazioni sono quelle che Aikido pubblica nel suo blog, e va ricordato che la società vende una soluzione per la protezione dei dispositivi degli sviluppatori. Consistono nel tenere le credenziali di lunga durata fuori dai dischi e nell’emetterne di brevi, che scadono in poche ore; nel richiedere per le azioni di alto valore, comprese le modifiche ai permessi di un portafoglio, un’approvazione esterna al servizio, così che un servizio compromesso non possa autorizzare da solo le proprie transazioni; nel segnalare credenziali e sessioni usate da luoghi o in orari insoliti per l’ingegnere; nel portare sotto gestione aziendale anche i computer di collaboratori esterni e quelli personali che raggiungono la produzione. Margarito di NAIS indica in modo più generale il rafforzamento della sicurezza degli accessi privilegiati, mentre Kucherin raccomanda soluzioni di protezione avanzate su ogni dispositivo, professionale o privato.
Binance ha promesso un’analisi tecnica dettagliata quando i fatti saranno verificati: solo allora si saprà se il portatile ha avuto davvero il ruolo che le prime comunicazioni gli attribuivano. Nel frattempo il caso offre un promemoria che vale per ogni organizzazione: i computer di chi amministra i sistemi vanno trattati come asset critici, con le stesse cautele riservate ai server che quegli stessi tecnici gestiscono.
Fonti: BBC, BleepingComputer, Aikido Security, Tech From The Net, FBI.
