FBI: Nordkoreanische FaceStealer-Hacker täuschten vertraute Kontakte bei Videocalls, um 400 Millionen US-Dollar in Krypto zu stehlen
Wichtige Erkenntnisse
- •Die FaceStealer-Kampagne, die das Justizministerium mit nordkoreanischen Gruppen wie Sapphire Sleet, UNC1069, APT38 und BlueNoroff in Verbindung bringt, stahl innerhalb von 18 Monaten mehr als 400 Millionen US-Dollar in Kryptowährungen.
- •Die Hacker spielten heimlich aufgezeichnete Webcam-Mitschnitte bekannter Kontakte neben Deepfakes ab, um vertraute Kollegen zu imitieren, und nutzten dann einen vorgetäuschten Audiofehler, um Ziele zur Installation von Schadsoftware zu verleiten.
- •Das FBI nahm FaceStealers Cloud-Infrastruktur außer Betrieb und beschlagnahmte mehr als 900 Webcam-Videos von Opfern; zudem veröffentlichte es einen Bericht und startete eine eigene Informationswebsite.
- •Open-Source-Softwareentwickler werden zunehmend über ihre Geräte und Code-Repository-Konten angegriffen, was nach Angaben des Justizministeriums offenbar Supply-Chain-Angriffe auf abhängige Projekte und Nutzer ermöglichen soll.
- •In einer parallelen Maßnahme erhielt das Justizministerium gerichtliche Genehmigung, mehr als 1,2 Milliarden US-Dollar, die TraderTraitor aus Binance stahl, einzuziehen oder zu sperren; die Gruppe wäscht die Mittel weiterhin über Krypto-Bridges, Mixer und Börsen.
Nordkoreanische Hacker nutzten Konten, die ihnen aus früheren Opfern gestohlen worden waren, um neue Ziele zu Videocalls einzuladen, wo sie heimlich aufgezeichnete Webcam-Mitschnitte von Personen abspielten, die diese Ziele kannten – wie das US-Justizministerium mitteilte.
Das Schema, das das FBI unter dem Namen FaceStealer verfolgt, stahl innerhalb von 18 Monaten mehr als 400 Millionen US-Dollar in Kryptowährungen, teilte das Ministerium am Donnerstag mit. Die Behörden erklärten, sie hätten FaceStealers Cloud-Infrastruktur außer Betrieb genommen, und das FBI beschlagnahmte auf Grundlage eines Bundesbeschlags mehr als 900 Webcam-Videos der Opfer des Schemas – Aufnahmen der Art, wie das Schema sie verwendete, um vertraute Kontakte bei späteren Anrufen zu imitieren.
Vorgetäuschter Audiofehler brachte Ziele dazu, Schadsoftware zu installieren
In seiner Mitteilung erklärte das Justizministerium, die Gruppen hinter der Operation zielten auf Personen, die in Krypto und Web3 arbeiten. Tritt ein Ziel einem Call bei, zeichnen die Hacker die eigene Webcam dieser Person auf, während sie vorab aufgezeichnete Aufnahmen eines bekannten Kontakts abspielen und so die Anwesenheit eines vertrauten Kollegen in dem Call vortäuschen.
Die Hacker erstellen zudem Deepfake-Videos einflussreicher Persönlichkeiten aus Krypto und Web3 – was das Ministerium als „Superintelligenz“ bezeichnete – und setzen sie in denselben Meetings ein.
Mitten im Call tritt ein vorgetäuschter technischer Fehler auf – etwa die Behauptung, das Ziel sei nicht zu hören. Danach folgt ein Link oder eine Aufforderung, das Problem zu „beheben“; das Öffnen installiert stillschweigend Schadsoftware auf dem Rechner des Opfers.
Sobald der Computer kompromittiert ist, können die Hacker Kryptowährungen stehlen oder den Zugriff des Ziels auf andere Systeme nutzen. In einigen Fällen fanden Diebstähle und Kontoübernahmen Monate bis über ein Jahr nach dem ersten Eindringen statt.
Die Hacker durchsuchen zudem die Kontaktlisten, sozialen Medien und Messaging-Apps jedes neuen Opfers. Dort gefundene private und geschäftliche Kontakte werden zu den nächsten Zielen.
„Es nutzt unser Vertrauen in allgegenwärtige Videokonferenzplattformen und geschätzte persönliche Beziehungen aus. Wenn Sie sich kein Szenario vorstellen können, in dem Ihnen das passieren könnte, denken Sie nicht kreativ genug“, sagte Patrick Grandy, Assistant Director in Charge des FBI-Büros Los Angeles.
Open-Source-Entwickler im Visier, während das Justizministerium 1,2 Milliarden US-Dollar sperrt
Open-Source-Softwareentwickler gerieten zunehmend ins Visier. Die Hacker zielen auf ihre Geräte und die von ihnen kontrollierten Code-Repository-Konten ab, was nach Angaben des Justizministeriums offenbar darauf ausgelegt ist, Supply-Chain-Angriffe zu ermöglichen – eine Technik, bei der die Systeme oder der Code eines kompromittierten Entwicklers genutzt werden, um die davon abhängigen Projekte und Nutzer zu erreichen.
Das Ministerium brachte die FaceStealer-Kampagne mit nordkoreanischen Gruppen in Verbindung, die es als Sapphire Sleet, UNC1069, Dangerous Password, CryptoCore, APT38, BlueNoroff und Stardust Chollima benannte.
Im Februar hatte Cryptopolitan berichtet, dass UNC1069 das Telegram-Konto eines Krypto-Managers übernommen hatte, um ein Ziel in einen gefälschten Zoom-Call zu locken. Die Angreifer täuschten anschließend Audioprobleme vor und brachten das Opfer dazu, Fehlerbehebungsbefehle auszuführen – ein Vorgehen, das dem im FaceStealer-Statement des Justizministeriums beschriebenen Audiofehler-Vorwand entspricht.
Das FBI veröffentlichte einen Bericht über die Funktionsweise des Schemas, einschließlich Schutzmaßnahmen und Hinweisen für Opfer, und richtete eine eigene FaceStealer-Website als Informationsplattform ein.
Das Justizministerium verband die FaceStealer-Beschlagnahme mit einer zweiten Maßnahme: Es erhielt gerichtliche Genehmigung, mehr als 1,2 Milliarden US-Dollar, die aus Binance gestohlen worden waren, einzuziehen oder zu sperren – Teil von mehr als 2,7 Milliarden US-Dollar, die bislang eingefroren wurden.
Das Ministerium machte die nordkoreanischen Militärhacker, die es TraderTraitor nennt, dafür verantwortlich, um den 29. Oktober herum mehr als 6 Milliarden US-Dollar von der Börse abgezweigt zu haben. Nordkorea bestreitet jede Beteiligung an den Diebstählen.
„Die Regierung Nordkoreas finanziert ihr Schurkenregime und ihr illegales Waffenprogramm durch den Diebstahl von Kryptowährungen“, sagte M. Scott Proctor, Principal Deputy Assistant Attorney General für Nationale Sicherheit.
TraderTraitor wäscht die Binance-Mittel weiterhin über Krypto-Bridges, Mixer und Börsen. Die Bemühungen, sie zurückzuverfolgen, einzufrieren, einzuziehen und einzuberichten, gehen weiter.
