Le ministère américain de la Justice démantèle un schéma d'appels pièges nord-coréens ayant volé 400 millions de dollars en cryptomonnaies

Le Département de la Justice américain a déclaré jeudi avoir saisi une infrastructure cloud utilisée dans une campagne nord-coréenne d'usurpation d'identité par appel vidéo, qui a volé plus de 400 millions de dollars en cryptomonnaies au cours des 18 derniers mois.

Cette campagne, que le FBI a désignée sous le nom de FaceStealer, s'appuie sur des comptes volés à des victimes précédentes pour inviter leurs contacts à des réunions, selon l'annonce du département datée du 12 novembre. Au cours de ces appels, les attaquants diffusent des images de webcam enregistrées en secret de personnes connues de la cible, ou des vidéos deepfake de figures éminentes du secteur crypto, afin de donner aux réunions une apparence légitime.

« Cela exploite notre confiance dans les plateformes de visioconférence omniprésentes et dans nos relations personnelles précieuses », a déclaré Patrick Grandy, directeur adjoint responsable du bureau du FBI de Los Angeles, dans l'annonce.

Comment fonctionne ce schéma

Pendant l'appel, les attaquants invoquent un problème technique — par exemple, l'audio de la cible qui ne fonctionne pas — et fournissent un lien ou une invite pour le résoudre. Cette prétendue correction installe un logiciel malveillant sur l'ordinateur de la cible, a précisé le DOJ. La page de ressources FaceStealer du FBI décrit l'utilisation de versions imitatrices réalistes de plateformes de visioconférence.

L'exposition dépasse les simples avoirs en cryptomonnaies d'un individu. Selon le DOJ, les attaquants peuvent exploiter l'accès d'un utilisateur compromis à d'autres infrastructures informatiques et ciblent de plus en plus les développeurs open source et les mainteneurs afin d'obtenir l'accès à des comptes de dépôts logiciels. Ce ciblage semble destiné à permettre des attaques de la chaîne d'approvisionnement logicielle, a indiqué le département — pouvant potentiellement atteindre les utilisateurs des logiciels concernés, selon le FBI. Concrètement, cette évaluation signifie que l'empreinte potentielle de la campagne s'étend au-delà des individus directement compromis jusqu'à toute personne dépendant des logiciels touchés.

Dans le cadre d'un mandat fédéral, le FBI a saisi plus de 900 vidéos de webcam de victimes de FaceStealer, a indiqué le DOJ. Les attaquants récupèrent également les listes de contacts et les comptes de communication des victimes pour approcher le prochain lot de cibles. Dans plusieurs cas signalés, le vol de cryptomonnaies et le détournement de comptes sont survenus de plusieurs mois à plus d'un an après la compromission initiale, a précisé le département — un décalage qui montre comment une intrusion peut rester non résolue pendant des mois pendant que les attaquants exploitent les contacts et comptes collectés d'une victime.

L'appât par appel vidéo s'inscrit dans la continuité d'un schéma que le FBI avait averti en septembre 2024, lorsqu'il avait signalé les demandes d'exécution de scripts pour activer des appels comme signe potentiel d'ingénierie sociale nord-coréenne. Comme l'a rapporté The Defiant à l'époque, les employés de la DeFi figuraient parmi les cibles. Cette alerte antérieure recommandait de vérifier les contacts via des plateformes de communication distinctes et non connectées, et de restreindre les fichiers que les appareils d'entreprise peuvent télécharger ou exécuter. Ces deux recommandations ciblent les deux points d'entrée déclarés du schéma : les identités usurpées lors des appels et l'invite de fausse correction malveillante.

Une action distincte vise les actifs Binance volés

Dans la même annonce, le DOJ a déclaré avoir obtenu l'autorisation judiciaire de saisir ou de bloquer plus de 1,2 milliard de dollars d'actifs liés à un vol distinct sur Binance. Ce montant fait partie des plus de 2,7 milliards de dollars gelés grâce aux efforts des pouvoirs publics et du secteur privé, et non d'une récupération supplémentaire s'y ajoutant.

Le FBI a attribué ce vol de plus de 6 milliards de dollars, survenu vers le 29 octobre, à une activité nord-coréenne qu'il appelle TraderTraitor. Le DOJ a explicitement distingué TraderTraitor de FaceStealer. Cette distinction est importante pour le suivi : FaceStealer désigne la campagne d'usurpation d'identité par appel vidéo, tandis que TraderTraitor couvre le vol distinct et sa piste de blanchiment.

Les efforts pour tracer, geler, saisir et confisquer les actifs Binance se poursuivent tandis que les attaquants blanchissent les fonds via des ponts, des mixers et des plateformes d'échange, a indiqué le DOJ.

Source : CryptoNewsNet