Hackers norcoreanos usaron cuentas robadas de víctimas anteriores para invitar a nuevos objetivos a videollamadas, donde reprodujeron en secreto clips grabados de cámara web de personas que esos objetivos conocían, según el Departamento de Justicia de EE.UU..

El esquema, rastreado por el FBI bajo el nombre FaceStealer, robó más de 400 millones de dólares en criptomonedas a lo largo de 18 meses, dijo el departamento el jueves. Las autoridades afirmaron que derribaron la infraestructura en la nube de FaceStealer, y el FBI confiscó más de 900 videos de cámara web de las víctimas del esquema mediante una orden federal: grabaciones del tipo que el esquema usaba para suplantar a contactos de confianza en llamadas posteriores.

Una falla de audio falsa engañó a los objetivos para instalar malware

En su comunicado, el DOJ dijo que los grupos detrás de la operación apuntan a personas que trabajan en cripto y web3. Cuando un objetivo se une a una llamada, los hackers graban la cámara web de esa persona mientras reproducen material pregrabado de un contacto conocido, fingiendo la presencia de un colega de confianza en la llamada.

Los hackers también producen videos deepfake de figuras influyentes en cripto y web3 —lo que el departamento llamó "super inteligencia"— y los reproducen en las mismas reuniones.

A mitad de la llamada, aparece una falla técnica falsa —por ejemplo, la afirmación de que no se escucha al objetivo. Luego sigue un enlace o aviso que ofrece "arreglar" el problema; al abrirlo, se instala malware silenciosamente en la máquina de la víctima.

Una vez que la computadora está comprometida, los hackers pueden robar criptomonedas o utilizar el acceso del objetivo a otros sistemas. En algunos casos, los robos y las tomas de cuentas ocurrieron meses hasta más de un año después de la intrusión inicial.

Los hackers también rastrean las listas de contactos, redes sociales y aplicaciones de mensajería de cada nueva víctima. Los contactos personales y profesionales descubiertos allí se convierten en los próximos objetivos.

"Explota nuestra confianza en plataformas omnipresentes de videoconferencia y en relaciones personales valiosas. Si no puedes imaginar un escenario en el que podrías caer en esto, no estás pensando con suficiente creatividad", dijo Patrick Grandy, subdirector a cargo de la Oficina de Campo del FBI en Los Ángeles.

Desarrolladores de código abierto en la mira mientras el DOJ retiene 1.200 millones de dólares

Los desarrolladores de software de código abierto están cada vez más en la mira. Los hackers atacan sus dispositivos y las cuentas de repositorios de código que controlan, lo que, según el DOJ, parece diseñado para habilitar ataques a la cadena de suministro, una técnica que usa los sistemas o el código de un desarrollador comprometido para llegar a los proyectos y usuarios que dependen de él.

El departamento vinculó la campaña FaceStealer con grupos norcoreanos que nombró como Sapphire Sleet, UNC1069, Dangerous Password, CryptoCore, APT38, BlueNoroff y Stardust Chollima.

En febrero, Cryptopolitan informó que UNC1069 secuestró la cuenta de Telegram de un ejecutivo de cripto para atraer a un objetivo a una falsa llamada de Zoom. Los atacantes luego fingieron problemas de audio e hicieron que la víctima ejecutara comandos de solución de problemas, imitando la excusa de la falla de audio descrita en el comunicado del DOJ sobre FaceStealer.

El FBI publicó un informe sobre cómo funciona el esquema, incluidos pasos de protección y consejos para víctimas, y creó un sitio web dedicado a FaceStealer como centro de recursos.

El DOJ acompañó la incautación de FaceStealer con una segunda acción: obtuvo aprobación judicial para incautar o retener más de 1.200 millones de dólares que habían sido robados de Binance, parte de más de 2.700 millones de dólares congelados hasta ahora.

El departamento culpó a hackers militares norcoreanos a los que llama TraderTraitor por sustraer más de 6.000 millones de dólares del exchange alrededor del 29 de octubre. Corea del Norte ha negado cualquier participación en los robos.

"El gobierno de Corea del Norte financia su régimen genocida y su programa ilícito de armas mediante el robo de criptomonedas", dijo M. Scott Proctor, Subsecretario Principal Adjunto de Justicia para Seguridad Nacional.

TraderTraitor todavía está lavando los fondos de Binance a través de puentes de cripto, mixers y exchanges. Los esfuerzos para rastrearlos, congelarlos, incautarlos y decomisarlos continúan.