Die Lazarus-Gruppe hat sechs Monate lang versucht, in CoinsPaid-Systeme einzudringen, um Schwachstellen zu finden: Bericht

Der estnische Krypto-Zahlungsdienstleister CoinsPaid fand heraus, dass die berüchtigte Hackergruppe Lazarus sechs Monate damit verbrachte, die Plattform zu verfolgen und zu untersuchen, bevor sie am 22. Juli schließlich angriff.

ConsPaid arbeitete mit dem Cybersicherheitsunternehmen Match Systems zusammen, um die Schritte der Täter Minute für Minute zu verfolgen und herauszufinden, welche Dienste und Plattformen zum Waschen der Gelder genutzt wurden. In einer mit CryptoPotato geteilten Pressemitteilung sagte die Plattform, dass die Lazarus Group ein halbes Jahr damit verbracht habe, die Systeme von CoinsPaid zu infiltrieren und Schwachstellen zu finden.

Inszenierung eines Diebstahls im Wert von 37,3 Millionen US-Dollar

Seit März gab CoinsPaid bekannt, dass es ständig erfolglosen Angriffen verschiedener Art ausgesetzt war, die von Social Engineering bis hin zu DDos und BruteForce reichten. Im gleichen Zeitraum wandte sich ein Unternehmen, das angeblich ein ukrainisches Kryptoverarbeitungs-Startup sei, an wichtige Ingenieure des Unternehmens und stellte eine Reihe technischer Infrastrukturanfragen. Diese Interaktion wurde von drei wichtigen Entwicklern bei CoinsPaid bestätigt.

Im April und Mai erlebte CoinsPaid vier schwerwiegende Angriffe auf seine Systeme, bei denen es um unbefugten Zugriff auf die Konten sowohl der Mitarbeiter des Unternehmens als auch seiner Kunden ging. Die Spam- und Phishing-Aktivitäten gegen die Teammitglieder seien konstant und äußerst aggressiv gewesen, heißt es in der Pressemitteilung.

Im darauffolgenden Monat Juni und Juli wurde eine böswillige Kampagne inszeniert, die eine Kombination aus Bestechung und fiktiven Beschäftigungsangeboten beinhaltete und sich alle an wichtiges Personal im Unternehmen richtete.

Der Angreifer startete am 7. Juli einen sorgfältig geplanten und durchgeführten Angriff auf die Infrastruktur und Anwendungen von CoinsPaid. Der Angriff, der zwischen 20:48 und 21:42 Uhr stattfand, zeigte einen beispiellosen Anstieg der Netzwerkaktivität und verzeichnete eine Interaktion von über 150.000 verschiedenen IP-Adressen.

Dem Angriff auf der Spur

Das Hauptziel der Täter bestand darin, einen wichtigen Mitarbeiter dazu zu verleiten, Software zu installieren und so die Fernkontrolle über einen Computer zu erlangen, indem sie in die internen Systeme von CoinsPaid eindrangen und darauf zugriffen. Trotz sechs Monaten erfolgloser Versuche gelang es den Angreifern am 22. Juli schließlich, in die Infrastruktur einzudringen, was zu einem Verlust von 37,5 Millionen US-Dollar führte.

Die Angreifer nutzten hochentwickelte und wirkungsvolle Social-Engineering-Techniken, um sich Zugriff auf den Computer eines Mitarbeiters zu verschaffen. Personalvermittler von Krypto-Unternehmen wandten sich über LinkedIn und verschiedene Messenger an die Mitarbeiter von CoinsPaid und boten verlockend hohe Gehälter an.

Nachdem einer seiner Mitarbeiter auf ein Stellenangebot geantwortet hatte und sich als Crypto.com ausgab, erhielt er einen Testauftrag, der die Installation einer Anwendung mit Schadcode erforderte. Beim Öffnen der Testaufgabe wurden die Profile und Schlüssel des Mitarbeiters vom Computer gestohlen, um eine Verbindung mit der Infrastruktur von CoinsPaid herzustellen.

Der Zugriff ermöglichte es den Hackern, autorisierte Anfragen zum Abheben von Geldern aus CoinsPaid-Hot-Wallets zu erstellen. Den Tätern gelang es jedoch nicht, in die Hot Wallets einzudringen und sich private Schlüssel zu beschaffen, um direkt auf die Gelder zuzugreifen.

„Interne Sicherheitsmaßnahmen haben das Alarmsystem ausgelöst und es uns ermöglicht, die böswilligen Aktivitäten schnell zu stoppen und die Hacker aus dem Firmenumfeld zu vertreiben.“

CoinsPaid erklärte weiter, dass es den Tätern trotz der Einhaltung der KYC-Maßnahmen und der Verwendung von Blockchain-Risikobewertungssystemen zur Erkennung verdächtiger Aktivitäten durch Kryptounternehmen dennoch gelungen sei, die gestohlenen Gelder erfolgreich zu waschen.

Das Unternehmen zeigte mit dem Finger auf die Lazarus-Gruppe, da die Hacker beim Atomic Wallet-Überfall ähnliche Taktiken anwendeten.

Der Beitrag „Lazarus Group verbrachte sechs Monate damit, in CoinsPaid-Systeme einzudringen, um Schwachstellen zu finden: Der Bericht erschien zuerst auf CryptoPotato.“