جزئیات تازه نشان می‌دهد نفوذ به لپ‌تاپ کاری یکی از مهندسان دواپس بایننس از یک مصاحبه شغلی جعلی آغاز شده است. در جریان این مصاحبه، یک ریپوی آلوده با عنوان «تمرین کدنویسی» در اختیار مهندس قرار گرفته و او آن را روی همان لپ‌تاپ کاری اجرا کرده است؛ اقدامی که نقطه آغاز هک حدود ۶٫۳ میلیارد دلاری معرفی شده است.
نکات کلیدی
- مهندس دواپس بایننس با لپ‌تاپ کاری خود در یک مصاحبه شغلی جعلی شرکت کرده بود.
- مصاحبه‌کنندگان یک ریپوی آلوده را به‌عنوان تمرین کدنویسی در اختیار او گذاشتند.
- اجرای این ریپو روی لپ‌تاپ کاری، آغاز حمله‌ای با خسارت حدود ۶٫۳ میلیارد دلار عنوان شده است.
- یک شرکت ردیابی بلاکچین با اطمینان بالا این حمله را به هکرهای کره شمالی نسبت داده بود.
- توصیه اصلی این است که تست‌های کدنویسی ناشناس فقط روی ماشین جدا یا ماشین مجازی اجرا شوند.
حمله‌ای که شبیه یک فرصت شغلی بود
در این حمله خبری از شکستن رمزنگاری یا بهره‌برداری اولیه از یک باگ قرارداد هوشمند نبود. مهاجمان از یک فرایند آشنا برای برنامه‌نویسان استفاده کردند: مصاحبه شغلی و تمرینی که از داوطلب می‌خواهد یک پروژه نرم‌افزاری را دریافت و اجرا کند.
همین ظاهر عادی می‌تواند خطر را پنهان کند. وقتی یک ریپوی ناشناس روی لپ‌تاپ کاری اجرا می‌شود، کد آن وارد محیطی می‌شود که برای انجام فعالیت‌های حرفه‌ای استفاده شده و ممکن است به منابع حساس سازمانی متصل باشد.
ردپای یک روش شناخته‌شده
مصاحبه شغلی جعلی و ارائه تست کدنویسی آلوده، به‌عنوان امضای شناخته‌شده گروهی مطرح شده که این حمله به آن نسبت داده شده است. براساس اطلاعات موجود، چند سال قبل نیز یک بازی کریپتویی با همین روش هدف قرار گرفته بود.
یک شرکت فعال در ردیابی بلاکچین، با اطمینان بالا مسئولیت هک اخیر را به هکرهای کره شمالی نسبت داده است. بااین‌حال، نام این شرکت و جزئیات فنی بیشتری درباره ریپوی آلوده یا روند دقیق نفوذ ارائه نشده است.
برنامه‌نویسان چطور ریسک را کمتر کنند؟
قاعده پیشنهادی برای توسعه‌دهندگان ساده و عملی است: کد ناشناس را روی لپ‌تاپ کاری اجرا نکنید. اگر در یک مصاحبه از شما خواسته شد ریپویی را دریافت و اجرا کنید، محیط اصلی کارتان نباید محل آزمایش آن باشد.
- تست را روی یک ماشین جدا اجرا کنید.
- در صورت نبود دستگاه جدا، از ماشین مجازی استفاده کنید.
- ریپوی تمرین را مستقیماً روی سیستمی که برای کار سازمانی استفاده می‌کنید، اجرا نکنید.
جمع‌بندی
این ماجرا یادآوری می‌کند که حتی یک فرایند روزمره مثل مصاحبه شغلی می‌تواند به مسیر ورود مهاجمان تبدیل شود. برای شما به‌عنوان برنامه‌نویس، جدا نگه‌داشتن محیط اجرای کدهای ناشناس از لپ‌تاپ کاری یک اقدام ساده اما حیاتی است.