Des hackers nord-coréens ont utilisé des comptes volés à de précédentes victimes pour inviter de nouvelles cibles à des appels vidéo, où ils ont diffusé des extraits de webcam enregistrés en secret de personnes que ces cibles connaissaient, selon le ministère américain de la Justice.

Ce système, suivi par le FBI sous le nom de FaceStealer, a permis de voler plus de 400 millions de dollars en cryptomonnaies sur une période de 18 mois, a déclaré jeudi le département. Les autorités ont indiqué avoir démantelé l'infrastructure cloud de FaceStealer, et le FBI a saisi plus de 900 vidéos de webcam des victimes du système dans le cadre d'un mandat fédéral — des enregistrements du type de ceux utilisés par le réseau pour usurper l'identité de contacts de confiance lors d'appels ultérieurs.

Une panne audio truquée a incité les cibles à installer un logiciel malveillant

Dans son communiqué, le DOJ a précisé que les groupes à l'origine de l'opération ciblent les personnes travaillant dans la crypto et le web3. Lorsqu'une cible rejoint un appel, les hackers enregistrent la webcam de cette personne tout en diffusant des images préenregistrées d'un contact connu, simulant ainsi la présence d'un collègue de confiance durant l'appel.

Les hackers produisent également des vidéos deepfake de figures influentes de la crypto et du web3 — ce que le département a appelé une « super intelligence » — et les diffusent dans les mêmes réunions.

À mi-course de l'appel, une panne technique fictive apparaît — par exemple, l'affirmation que la cible n'est pas audible. Un lien ou une invite proposant de « corriger » le problème suit alors ; son ouverture installe silencieusement un logiciel malveillant sur la machine de la victime.

Une fois l'ordinateur compromis, les hackers peuvent voler des cryptomonnaies ou utiliser les accès de la cible à d'autres systèmes. Dans certains cas, les vols et prises de contrôle de comptes sont survenus de plusieurs mois à plus d'un an après l'intrusion initiale.

Les hackers fouillent également les listes de contacts, les réseaux sociaux et les applications de messagerie de chaque nouvelle victime. Les contacts personnels et professionnels qui y sont découverts deviennent les prochaines cibles.

« Cela exploite notre confiance dans les plateformes de visioconférence omniprésentes et dans nos relations personnelles précieuses. Si vous ne pouvez pas imaginer un scénario dans lequel vous pourriez en être victime, c'est que vous ne faites pas preuve d'assez d'imagination », a déclaré Patrick Grandy, directeur adjoint chargé de la direction du FBI de Los Angeles.

Les développeurs open source ciblés tandis que le DOJ gèle 1,2 milliard de dollars

Les développeurs de logiciels open source sont de plus en plus dans le viseur. Les hackers ciblent leurs appareils et les comptes de dépôts de code qu'ils contrôlent, ce qui, selon le DOJ, semble conçu pour permettre des attaques de la chaîne d'approvisionnement — une technique qui utilise les systèmes ou le code d'un développeur compromis pour atteindre les projets et les utilisateurs qui en dépendent.

Le département a relié la campagne FaceStealer à des groupes nord-coréens qu'il nomme Sapphire Sleet, UNC1069, Dangerous Password, CryptoCore, APT38, BlueNoroff et Stardust Chollima.

En février, Cryptopolitan rapportait que UNC1069 avait piraté le compte Telegram d'un dirigeant de la crypto pour attirer une cible dans un faux appel Zoom. Les attaquants avaient ensuite simulé des problèmes audio et fait exécuter à la victime des commandes de dépannage, reproduisant le prétexte de panne audio décrit dans le communiqué du DOJ sur FaceStealer.

Le FBI a publié un rapport sur le fonctionnement de ce système, incluant des mesures de protection et des conseils pour les victimes, et a mis en place un site web dédié à FaceStealer comme centre de ressources.

Le DOJ a accompagné la saisie de FaceStealer d'une seconde action : il a obtenu l'approbation d'un tribunal pour saisir ou geler plus de 1,2 milliard de dollars volés à Binance, sur plus de 2,7 milliards de dollars gelés à ce jour.

Le département a imputé aux hackers militaires nord-coréens qu'il appelle TraderTraitor le siphonnage de plus de 6 milliards de dollars de la plateforme autour du 29 octobre. La Corée du Nord a nié toute implication dans ces vols.

« Le gouvernement nord-coréen finance son régime hors la loi et son programme d'armes illicites grâce au vol de cryptomonnaies », a déclaré M. Scott Proctor, sous-procureur général adjoint principal pour la sécurité nationale.

TraderTraitor blanchit toujours les fonds de Binance via des ponts crypto, des mixeurs et des plateformes d'échange. Les efforts pour les tracer, les geler, les saisir et les confisquer se poursuivent.