Une alerte du 12 novembre publiée par l'Internet Crime Complaint Center (IC3) du FBI, le canal de l'agence pour recueillir les plaintes liées à la cybercriminalité et émettre des alertes publiques, décrit des délais de plusieurs mois à plus d'un an entre l'intrusion initiale et le vol de cryptomonnaies dans plusieurs affaires signalées impliquant FaceStealer, une opération nord-coréenne qui utilise des comptes de communication détournés et de fausses réunions vidéo pour amener les cibles à installer un logiciel malveillant. L'avertissement s'adresse aux personnes qui ont pu suivre des instructions de dépannage malveillantes il y a longtemps : l'absence de transferts non autorisés, prévient l'agence, ne garantit pas que leurs identifiants de portefeuille soient restés privés.

Pourquoi un portefeuille peut paraître normal après le vol de la phrase

Une phrase de récupération permet à un logiciel de portefeuille compatible de reconstruire les clés privées utilisées pour autoriser les transactions. Avec un portefeuille à phrase de récupération standard, quiconque détient la phrase peut restaurer l'accès sur un autre appareil sans supprimer l'accès du propriétaire, ce qui signifie que les deux parties peuvent alors disposer des moyens de dépenser les fonds.

Copier la phrase ne déplace pas la cryptomonnaie. Un explorateur de blocs peut afficher les dépôts et les transferts, mais il ne peut pas révéler qu'une autre personne a acquis les informations nécessaires pour autoriser un retrait ultérieur. Un propriétaire peut donc continuer à utiliser son portefeuille normalement tandis qu'un attaquant attend qu'un solde plus important apparaisse.

L'alerte du 12 novembre décrit des attaquants faisant exactement cela. Elle ne fournit aucun délai d'attente moyen ni aucune estimation de la fréquence à laquelle une compromission conduit à un vol différé. Sa conclusion est plus étroite : plusieurs affaires signalées impliquaient un vol et un détournement de comptes de communication de plusieurs mois à plus d'un an après l'intrusion.

L'étendue de l'exposition dépend de ce à quoi les attaquants ont pu accéder. Une phrase de récupération stockée sur un ordinateur infecté présente un risque différent d'une phrase qui n'a jamais été accessible à cet appareil, et une infection informatique seule ne signifie pas que tous les portefeuilles utilisés par le propriétaire ont perdu leurs clés.

Comment un contact familier délivre la fausse correction

Les opérations FaceStealer commencent par l'accès au compte de communication d'une victime précédente. Les attaquants utilisent ce compte authentique pour approcher les contacts de la victime au sujet d'une retrouvaille, d'une collaboration ou d'une opportunité d'investissement, puis envoient un lien vers un service de réunion d'imitation.

Dans la fausse réunion, ils diffusent des enregistrements de webcam volés afin que des personnes reconnaissables semblent participer. Ils affirment ensuite que la cible a un problème audio ou a besoin d'une mise à jour. La solution proposée demande à la cible de télécharger un fichier, d'exécuter un script ou de saisir une commande qui installe le logiciel malveillant.

La campagne repose toujours principalement sur de véritables enregistrements volés, bien que l'alerte décrive également de la vidéo synthétique. La supercherie ne nécessite pas de visage inventé : des images authentiques sont utilisées dans une conversation que la personne enregistrée ne dirige pas.

Les autorités ont saisi plus de 900 enregistrements de webcam de victimes lors du démantèlement de l'infrastructure FaceStealer. Le FBI attribue plus de 400 millions de dollars de vols de cryptomonnaies sur 18 mois à ce schéma.

Nettoyer l'ordinateur ne rétablit pas le contrôle du portefeuille

Supprimer un logiciel malveillant peut empêcher ce logiciel de continuer à fonctionner sur un appareil, mais il ne peut pas récupérer une phrase de récupération déjà copiée ailleurs. Réinstaller une application de portefeuille, changer son mot de passe local ou restaurer la même phrase sur un autre ordinateur laisse les identifiants du portefeuille inchangés.

Pour un portefeuille à phrase de récupération exposé, le remplacement signifie créer un portefeuille avec une phrase neuve et déplacer les actifs. Un portefeuille à phrase de récupération standard n'a aucune partie émettrice capable d'invalider une phrase une fois copiée, c'est pourquoi le remplacement, plutôt que la réparation, constitue la seule voie possible. Le guide de migration de Phantom explique que ses portefeuilles à phrase de récupération existants ne peuvent pas simplement recevoir une nouvelle phrase, et il conseille de vérifier les jetons, les objets de collection, les actifs mis en jeu et les positions DeFi, dont certains nécessitent des étapes supplémentaires avant de pouvoir être déplacés.

Une migration doit donc prendre en compte davantage que le solde affiché sur l'écran d'accueil du portefeuille. Le propriétaire doit identifier les actifs et les positions toujours contrôlés par les identifiants exposés et cesser de diriger les paiements futurs vers les anciennes adresses.

Les comptes volés exposent le contact suivant

L'accès au portefeuille n'est qu'une des utilisations de l'appareil compromis. Les attaquants FaceStealer obtiennent également des listes de contacts et des historiques de discussion, ce qui leur permet d'adapter leur approche autour d'une conversation antérieure. Un message concernant un investissement ou une réunion peut arriver du compte attendu et faire référence à une relation réelle.

Récupérer le compte peut interrompre cette voie vers d'autres victimes, mais les contacts ont peut-être déjà reçu des invitations ou vu le visage enregistré du propriétaire. Ils doivent être avertis par un autre canal établi. Les employeurs doivent également savoir quand un appareil professionnel ou des informations professionnelles ont pu être exposés, même si aucune cryptomonnaie n'a disparu.

Pour les futures invitations à des réunions, la pratique recommandée consiste à ouvrir l'application officielle de manière indépendante et à rejoindre la réunion avec le code correspondant, à confirmer les demandes inhabituelles par un autre canal de contact établi, et à obtenir les mises à jour séparément plutôt que d'exécuter des scripts ou des commandes fournis dans la discussion.

Quiconque a suivi une prétendue « correction » suspecte il y a des mois devrait réévaluer les identifiants et les comptes qui étaient alors accessibles. Comme les affaires décrites dans l'alerte impliquent un vol survenant de plusieurs mois à plus d'un an après l'intrusion, cette réévaluation doit remonter au-delà de l'activité récente jusqu'à chaque période durant laquelle l'appareil a pu être compromis. Cet examen détermine si les fonds doivent être déplacés, si les sessions de comptes doivent être fermées et si les contacts doivent être avertis.