Il DOJ smaschera lo schema nordcoreano di false chiamate video che ha rubato 400 milioni di dollari in criptovalute

Il Dipartimento di Giustizia degli Stati Uniti ha dichiarato giovedì di aver sequestrato infrastrutture cloud utilizzate in una campagna nordcoreana di impersonificazione tramite videochiamate che ha rubato oltre 400 milioni di dollari in criptovalute negli ultimi 18 mesi.

La campagna, designata dall'FBI come FaceStealer, si affida ad account rubati a vittime precedenti per invitare i loro contatti a riunioni, secondo l'annuncio del 12 novembre del Dipartimento. Durante queste chiamate, gli aggressori riproducono registrazioni webcam effettuate di nascosto di persone conosciute dall'obiettivo, o video deepfake di figure di spicco del mondo crypto, per dare alle riunioni un aspetto legittimo.

"Sfrutta la nostra fiducia nelle piattaforme di videoconferenza onnipresenti e nelle relazioni personali preziose", ha dichiarato Patrick Grandy, assistente direttore responsabile dell'ufficio dell'FBI di Los Angeles, nell'annuncio.

Come funziona lo schema

Durante una chiamata, gli aggressori sostengono che si sia verificato un problema tecnico, ad esempio il malfunzionamento dell'audio dell'obiettivo, e forniscono un link o un prompt per risolverlo. Quella presunta soluzione installa malware sul computer dell'obiettivo, ha dichiarato il DOJ. La pagina di risorse FaceStealer dell'FBI descrive l'uso di versioni impostore realistiche delle piattaforme di videoconferenza.

L'esposizione va oltre le risorse crypto di un individuo. Secondo il DOJ, gli aggressori possono sfruttare l'accesso di un utente compromesso ad altre infrastrutture informatiche e prendono sempre più di mira gli sviluppatori e i maintainer open source per ottenere l'accesso agli account dei repository software. Quel tipo di targeting sembra finalizzato ad abilitare attacchi alla supply chain del software, ha dichiarato il Dipartimento, potenzialmente raggiungendo gli utenti del software interessato, secondo l'FBI. In termini pratici, questa valutazione significa che la potenziale portata della campagna va oltre gli individui direttamente compromessi fino a chiunque si affidi al software interessato.

In virtù di un mandato federale, l'FBI ha sequestrato più di 900 video webcam di vittime di FaceStealer, ha dichiarato il DOJ. Gli aggressori raccolgono inoltre le liste di contatti e gli account di comunicazione delle vittime per avvicinare la successiva serie di obiettivi. In diversi casi riportati, i furti di criptovalute e gli dirottamenti di account si sono verificati da mesi fino a più di un anno dopo la compromissione iniziale, ha dichiarato il Dipartimento, un ritardo che mostra come un'intrusione possa rimanere irrisolta per mesi mentre gli aggressori sfruttano i contatti e gli account raccolti dalla vittima.

L'esca della videochiamata si basa su uno schema su cui l'FBI aveva avvertito a settembre 2024, quando aveva segnalato le richieste di eseguire script per abilitare le chiamate come possibile segnale di ingegneria sociale nordcoreana. Come riportato da The Defiant all'epoca, i dipendenti DeFi erano tra gli obiettivi. Quella precedente raccomandazione suggeriva di verificare i contatti attraverso piattaforme di comunicazione separate e non collegate e di limitare quali file i dispositivi aziendali possono scaricare o eseguire. Entrambe le raccomandazioni affrontano i due punti di ingresso dichiarati dello schema: identità impersonate nelle chiamate e il prompt danneggio di falso intervento tecnico.

Azione separata mirata alle risorse Binance rubate

Nello stesso annuncio, il DOJ ha dichiarato di aver ottenuto l'autorizzazione del tribunale a sequestrare o vincolare oltre 1,2 miliardi di dollari in risorse legate a un furto separato su Binance. Tale importo fa parte degli oltre 2,7 miliardi di dollari congelati attraverso sforzi governativi e del settore privato, anziché costituire un recupero aggiuntivo.

L'FBI ha attribuito quel furto di oltre 6 miliardi di dollari, avvenuto il 29 ottobre o in date vicine, a un'attività nordcoreana che denomina TraderTraitor. Il DOJ ha esplicitamente distinto TraderTraitor da FaceStealer. La distinzione è importante per il tracciamento: FaceStealer descrive la campagna di impersonificazione tramite videochiamate, mentre TraderTraitor copre il furto separato e la sua pista di riciclaggio.

Gli sforzi per tracciare, congelare, sequestrare e confiscare le risorse Binance restano in corso mentre gli aggressori riciclano i fondi tramite bridge, mixer ed exchange, ha dichiarato il DOJ.

Fonte: CryptoNewsNet