De faux entretiens d'embauche, une faille zero-day, et une attaque préparée pendant plusieurs mois: on sait enfin comment les pirates de Binance s'y sont pris

Le 29 octobre, un peu plus de 6 milliards de dollars d'actifs étaient volés par des pirates ayant réussi à compromettre la plateforme Binance, géant des cryptomonnaies. Mais comment est-ce arrivé? L'histoire est aussi improbable que sophistiquée, et elle n'a pu compter sur un salarié sur le départ.

Les pirates "ont passé des mois à préparer leur intrusion", révèle Richard Teng, codirecteur général de la société, à CNBC. "En juin, ils ont mis en place une fausse version d'un outil de développement et ont poussé un de nos ingénieurs à l'installer," précise-t-il. De faux entretiens d'embauche et une faille zero-day Ainsi, à l’époque, un ingénieur de Binance Wallet DevOps télécharge un logiciel falsifié "pour installer un outil populaire de programmation par IA, après l'avoir recherché sur un moteur de recherche".

Un rapport de sécurité publié par la société indique le développeur s'est néanmoins rendu compte d'une activité suspecte et a rendu son appareil en modifiant par précaution ses informations d'identification. Mais, toujours selon Binance, "le rôle de l’employé et celui de ses collègues au sein de notre équipe chargée de l’infrastructure de notre portefeuille avaient été exposés au pirate informatique". En septembre, tout s'accélère.

Les pirates se font passer pour des chasseurs de têtes, en passant par une plateforme de recrutement connue, et mènent une série d'entretiens d'embauches avec un second ingénieur intéressé par un emploi qui n'existait finalement pas. Ils lui font passer deux entretiens. Le premier s'est déroulé avec un supposé représentant des ressources humaines de la société.

Pour le mettre en confiance, cette personne est allée jusqu'à montrer des photos publiées sur de faux comptes personnels sur les réseaux sociaux. Le second entretien s'est déroulé avec une personne se présentant comme le directeur général de la structure. C'est à la fin de cette discussion que les pirates demandent à l'employé de télécharger un fichier, qui est censé être un exercice à réaliser pour juger de ses capacités.

L'ingénieur le télécharge alors sur sa machine de travail fournie par Binance. Ce fichier va, bien entendu, compromettre l'ordinateur. Là encore, les pirates ont bien fait les choses.

"Le logiciel malveillant employait des techniques sophistiquées d’obfuscation et d’évasion, notamment en remplaçant un composant d’un outil de développement légitime par une version malveillante afin d’exécuter des commandes et d’établir une communication avec un serveur externe contrôlé par l’attaquant", explique le rapport de Binance. "À partir de là, ils se sont promenés rapidement à travers nos outils d'IA interne et ont obtenu un accès qui violait le système autorisant les transactions," ajoute Richard Teng. Un autre détail prouve l'extrême sérieux de ces pirates et les moyens dont ils disposent.