US-Justizministerium unterbindet nordkoreanisches Fake-Call-System, das 400 Millionen US-Dollar in Krypto stahl
Wichtige Erkenntnisse
- •Das Justizministerium beschlagnahmte Cloud-Infrastruktur, die in der nordkoreanischen FaceStealer-Kampagne eingesetzt wurde, die in den vergangenen 18 Monaten mehr als 400 Millionen US-Dollar in Kryptowährungen stahl.
- •Die Angreifer nutzen gestohlene Opferkonten, um Meetings zu vereinbaren, aufgezeichnete Webcam-Aufnahmen oder Deepfakes bekannter Personen zu zeigen und Schadsoftware über einen als technischen Fix getarnten Link oder eine Eingabeaufforderung zu verbreiten.
- •Das FBI beschlagnahmte auf Grundlage eines Bundesbeschlusses mehr als 900 Webcam-Videos von Opfern; in mehreren Fällen ereigneten sich Diebstähle Monate bis mehr als ein Jahr nach der anfänglichen Kompromittierung.
- •Die Kampagne zielt zunehmend auf Open-Source-Entwickler und Maintainer ab, um an Konten von Software-Repositorys zu gelangen, mit dem Ziel, Supply-Chain-Angriffe zu ermöglichen, die Nutzer der betroffenen Software erreichen könnten.
- •In einer separaten Maßnahme erhielt das Justizministerium eine gerichtliche Genehmigung, mehr als 1,2 Milliarden US-Dollar im Zusammenhang mit einem Binance-Diebstahl, der TraderTraitor zugeschrieben wird, zu beschlagnahmen oder einzufrieren – Teil von über 2,7 Milliarden US-Dollar, die durch staatliche und private Bemühungen eingefroren wurden.
US-Justizministerium unterbindet nordkoreanisches Fake-Call-System, das 400 Millionen US-Dollar in Krypto stahl
Das US-Justizministerium teilte am Donnerstag mit, dass es Cloud-Infrastruktur beschlagnahmt hat, die in einer nordkoreanischen Videocall-Imitatorkampagne eingesetzt wurde, die in den vergangenen 18 Monaten mehr als 400 Millionen US-Dollar in Kryptowährungen stahl.
Die Kampagne, die das FBI als FaceStealer bezeichnet, nutzt Konten, die früheren Opfern gestohlen wurden, um deren Kontakte zu Meetings einzuladen, wie das Ministerium in seiner Ankündigung vom 12. November mitteilte. Während dieser Anrufe spielen die Angreifer heimlich aufgezeichnete Webcam-Aufnahmen von Personen, die das Ziel kennt, oder Deepfake-Videos prominenter Krypto-Figuren ab, um die Meetings authentisch erscheinen zu lassen.
„Sie nutzt unser Vertrauen in allgegenwärtige Videokonferenzplattformen und wertvolle persönliche Beziehungen aus“, sagte Patrick Grandy, Assistant Director der FBI-Feldstelle Los Angeles, in der Ankündigung.
Wie das System funktioniert
Während eines Anrufs behaupten die Angreifer, dass ein technisches Problem aufgetreten sei – etwa dass das Audio des Ziels nicht funktioniere – und stellen einen Link oder eine Eingabeaufforderung zur Behebung bereit. Dieser angebliche Fix installiert Schadsoftware auf dem Computer des Ziels, teilte das Justizministerium mit. Die FaceStealer-Ressourcenseite des FBI beschreibt die Verwendung realistischer Imitate von Videokonferenzplattformen.
Die Gefahr reicht über die Krypto-Bestände einer Einzelperson hinaus. Laut Justizministerium können Angreifer den Zugriff eines kompromittierten Nutzers auf andere Computerinfrastruktur ausnutzen und zielen zunehmend auf Open-Source-Entwickler undMaintainer ab, um an Konten von Software-Repositorys zu gelangen. Dieses Vorgehen zielt offenbar darauf ab, Software Supply-Chain-Angriffe zu ermöglichen, teilte das Ministerium mit – und könnte potenziell Nutzer der betroffenen Software erreichen, so das FBI. Konkret bedeutet diese Einschätzung, dass sich das potenzielle Wirkungsgebiet der Kampagne über die direkt kompromittierten Personen hinaus auf alle erstrecken kann, die auf die betroffene Software angewiesen sind.
Auf Grundlage eines Bundesbeschlusses beschlagnahmte das FBI mehr als 900 Webcam-Videos von FaceStealer-Opfern, teilte das Justizministerium mit. Die Angreifer entwenden zudem Kontaktlisten und Kommunikationskonten der Opfer, um die nächste Zielgruppe anzugehen. In mehreren dokumentierten Fällen ereigneten sich Krypto-Diebstähle und Kontoübernahmen Monate bis mehr als ein Jahr nach der anfänglichen Kompromittierung, teilte das Ministerium mit – eine Verzögerung, die zeigt, wie ein Eindringen monatelang unbemerkt bleiben kann, während die Angreifer die gesammelten Kontakte und Konten eines Opfers abarbeiten.
Der Videocall-Köder baut auf einem Muster auf, vor dem das FBI bereits im September 2024 gewarnt hatte, als es Aufforderungen, Skripte zur Aktivierung von Anrufen auszuführen, als potenzielles Zeichen nordkoreanischer Social Engineering markierte. Wie The Defiant damals berichtete, gehörten DeFi-Mitarbeiter zu den Zielen. Die frühere Empfehlung lautete, Kontakte über separate, nicht verbundene Kommunikationsplattformen zu verifizieren und einzuschränken, welche Dateien Geräte des Unternehmens herunterladen oder ausführen dürfen. Beide Empfehlungen richten sich an den beiden genannten Einfallstoren des Systems: nachgeahmte Identitäten in Anrufen und die bösartige Fix-Aufforderung.
Separate Maßnahme zielt auf gestohlene Binance-Vermögenswerte
In derselben Ankündigung teilte das Justizministerium mit, dass es eine gerichtliche Genehmigung erhalten hat, mehr als 1,2 Milliarden US-Dollar an Vermögenswerten im Zusammenhang mit einem separaten Binance-Diebstahl zu beschlagnahmen oder einzufrieren. Dieser Betrag ist Teil von mehr als 2,7 Milliarden US-Dollar, die durch staatliche und private Bemühungen eingefroren wurden, und stellt keine zusätzliche Rückgewinnung darüber hinaus dar.
Das FBI führte diesen Diebstahl von mehr als 6 Milliarden US-Dollar, der sich um den 29. Oktober ereignete, auf eine nordkoreanische Aktivität namens TraderTraitor zurück. Das Justizministerium unterschied TraderTraitor ausdrücklich von FaceStealer. Diese Unterscheidung ist für die Verfolgung wichtig: FaceStealer bezeichnet die Videocall-Imitatorkampagne, während TraderTraitor den separaten Diebstahl und seine Geldwäschespur abdeckt.
Die Bemühungen, die Binance-Vermögenswerte zurückzuverfolgen, einzufrieren, zu beschlagnahmen und einzuziehen, laufen weiterhin, während die Angreifer die Gelder über Bridges, Mixer und Börsen waschen, teilte das Justizministerium mit.
Quelle: CryptoNewsNet
