Sikkerhetsforskere ble lokket med falsk kryptokonferanse – Google Docs ble angrepsverktøyet

Angrepet kombinerte en kjent faglig arena med tjenester mange allerede stoler på. X-kontoen @HartmansDoeke hevdet å representere CoinDesk og tok kontakt med personer knyttet til Black Hat og DEF CON. Noen ble først kontaktet gjennom offentlige svar, før samtalen ble flyttet over i direktemeldinger. Deretter foreslo angriperen en angivelig kryptokonferanse arrangert av CoinDesk og delte et Google-dokument som skulle være planleggingsmateriale. 1411

Det viktige er at selve Google-dokumentet kunne se legitimt ut. Den skadelige delen var et innebygd Google Apps Script-grensesnitt og instruksjonene som ble vist der. Rapporteringen beskriver en forsøkt leveringskjede for skadevare, men bekrefter ikke at Huntress-forskeren eller andre mål faktisk installerte nyttelasten. 468

Slik fungerte lokkemiddelet

De første meldingene brukte konferansekonteksten som en snarvei til tillit. Vedkommende spurte, på gebrokkent engelsk, om forskeren planla å delta på et annet arrangement, og introduserte deretter en fiktiv konferanse knyttet til et kjent kryptonyhetsmedium. Offentlige svar gjorde det mulig å finne eller nærme seg sannsynlige deltakere, mens direktemeldinger ga angriperen en privat kanal for neste steg. 4510

Da målet viste interesse, sendte angriperen et dokument som så ut som en fil for konferanseplanlegging. Dokumentet ble ledsaget av en «krypteringsnøkkel» eller dekrypteringsnøkkel i X-samtalen. Dermed kunne utvekslingen fremstå som vanlig arrangementskoordinering, ikke som et tradisjonelt phishingforsøk. 68

Fellen i Google Docs og Apps Script

En Google-bruker som var logget inn og åpnet filen, fikk se et tilpasset sidepanel ved siden av dokumentet. Huntress beskrev sidepanelet som et grensesnitt som fikk materialet til å se delvis kryptert ut, og som ba mottakeren skrive inn nøkkelen han eller hun hadde fått tilsendt. Nøkkelen så ut til å mislykkes. Det ga angriperen en anledning til å lede målet videre gjennom foreslåtte «gjenopprettingssteg». 68

Alternativene som fulgte, inneholdt ClickFix-lignende instruksjoner og en nedlastingsmulighet. Begge var ment å få mottakeren til å laste ned og kjøre skadelig kode. Dokumentet var altså ikke bare en lenke til en mistenkelig ekstern nettside: Ekte Google-infrastruktur og et Docs-grensesnitt som så innebygd ut, ble brukt for å gjøre arbeidsflyten kjent og troverdig. 48

Det er hovedlærdommen fra kampanjen. En ekte google.com-adresse eller et dokument som åpnes i en kjent skytjeneste, bekrefter hvor innholdet ligger. Det beviser ikke at dokumentet, skriptet, instruksjonene eller nedlastingene er trygge.

Skadevaren som ble knyttet til kampanjen

De rapporterte leveringsveiene var ulike avhengig av operativsystem:

• macOS: Kampanjen forsøkte å levere Atomic macOS Stealer, kjent som AMOS, en skadevare som stjeler informasjon. Rapporteringen knytter også macOS-sporet til en falsk Dropbox DocSend-deling og et forfalsket installasjonsprogram. 2
• Windows: Operasjonen involverte NetSupport RAT, et legitimt verktøy for fjernstøtte og fjernstyring som ble gjenbrukt som en trojaner for fjernaksess. 2
• Kryptovalutamål: Forskere identifiserte også et forfalsket Ledger-installasjonsprogram eller en tilhørende implantat, noe som tyder på at kryptovalutakontoer og lommebokdata var blant de mulige målene. 2

Det tilgjengelige materialet beskriver planlagte nyttelaster og leveringsmekanismer – ikke et bekreftet sikkerhetsbrudd hos forskeren som undersøkte kampanjen.

Huntress lot som om de gikk på limpinnen

Huntress-forskeren forsto at henvendelsen var mistenkelig, men fortsatte samtalen og lot som om vedkommende samarbeidet. På den måten kunne Huntress observere meldingene, motta dokumentet og dokumentere hvordan den falske krypteringsprompten ledet mot kjøring av skadevare. Forskeren installerte ikke nyttelasten. 1411

Metoden ga uvanlig god innsikt i hele angrepskjeden. I stedet for å stoppe ved den første mistenkelige meldingen, kunne undersøkelsen koble sammen identiteten på X, konferansepåskuddet, Google-dokumentet, Apps Script-sidepanelet, den falske nøkkelprompten og de operativsystemspesifikke skadevareløpene.

Dette bør sikkerhetsteam merke seg

Kampanjen viser hvorfor konferanserelaterte henvendelser må granskes like nøye som e-postbasert phishing – også når de kommer via en offentlig sosial plattform og bruker en legitim skytjeneste.

Praktiske varselsignaler er blant annet:

• en uoppfordret henvendelse fra en konto som hevder å representere en konferansearrangør, et medieselskap eller en sponsor;
• en forespørsel om å flytte samtalen fra offentlige svar til direktemeldinger før identiteten er bekreftet gjennom en uavhengig kanal;
• et dokument som ber om en nøkkel, et passord eller et «dekrypteringssteg» som ble sendt i en separat chat;
• et Google-dokument med et tilpasset sidepanel eller en uvanlig interaktiv prompt som ber mottakeren laste ned programvare eller lime inn kommandoer; og
• en kryptolommebok, et fjernstyringsverktøy eller et konferanseprogram som tilbys utenfor organisasjonens bekreftede kanaler.

Hvis noen har fulgt instruksjonene, er det tryggest å isolere den berørte maskinen, tilbakestille potensielt eksponerte passord, rotere hemmeligheter og gå gjennom kryptolommebøker og andre sensitive kontoer. 1819

Dette er bekreftet – og dette er fortsatt uklart

Rapporteringen underbygger hovedmekanismene: identitetstyveri på X, offentlige svar og direktemeldinger, et falskt kryptokonferansepåskudd, et Google-dokument utvidet med Apps Script, en falsk dekrypteringsnøkkel, ClickFix-lignende oppfølgingsinstruksjoner og forsøk på å levere skadevare til macOS- og Windows-enheter. 1246811

Materialet som er tilgjengelig her, inneholder ikke en verifisert uttalelse fra den mistenkte angriperen eller Google. Det gir heller ikke et tilstrekkelig grunnlag for en konkret sammenligning med navngitte, myndighetstilknyttede kampanjer. På et overordnet nivå følger hendelsen et kjent mønster: målrettet sosial manipulering av sikkerhetsfolk. Det særpregede er hvordan innhold på Googles egne tjenester og et Apps Script-grensesnitt ble brukt som en del av leveringsløpet.