Un avviso dell'12 novembre pubblicato tramite l'Internet Crime Complaint Center (IC3) dell'FBI, il canale dell'agenzia per la raccolta delle segnalazioni di crimini informatici e la diffusione di avvisi pubblici, descrive ritardi da mesi a più di un anno tra l'intrusione iniziale e il furto di criptovalute in diversi casi segnalati che coinvolgono FaceStealer, un'operazione nordcoreana che utilizza account di comunicazione dirottati e finti incontri video per indurre i bersagli a installare malware. L'avviso si rivolge a persone che potrebbero aver seguito istruzioni diagnostica malevoli molto tempo fa: l'assenza di trasferimenti non autorizzati, mette in guardia l'agenzia, non dimostra che le credenziali del loro wallet siano rimaste private.

Perché un wallet può sembrare normale dopo il furto della frase

Una frase di recupero consente al software wallet compatibile di ricostruire le chiavi private utilizzate per autorizzare le transazioni. Con un wallet standard basato su frase di recupero, chiunque possieda la frase può ripristinare l'accesso su un altro dispositivo senza rimuovere l'accesso del proprietario, il che significa che entrambi possono poi avere i mezzi per spendere i fondi.

Copiare la frase non sposta criptovalute. Un block explorer può mostrare depositi e trasferimenti, ma non può rivelare che un'altra persona ha acquisito le informazioni necessarie per autorizzare un futuro prelievo. Il proprietario può quindi continuare a utilizzare il wallet normalmente mentre un attaccante attende che compaia un saldo più consistente.

L'avviso del 12 novembre descrive attaccanti che fanno esattamente questo. Non offre un periodo di attesa medio né una stima di quanto spesso una compromissione porti a un furto ritardato. La sua constatazione è più ristretta: diversi casi segnalati hanno coinvolto furti e dirottamenti di account di comunicazione da mesi a più di un anno dopo l'intrusione.

L'entità dell'esposizione dipende da cosa potevano accedere gli attaccanti. Una frase di recupero archiviata su un computer infetto presenta un rischio diverso rispetto a una frase mai disponibile su quel dispositivo, e un'infezione informatica da sola non significa che ogni wallet utilizzato dal proprietario abbia perso le proprie chiavi.

Come un contatto familiare consegna la falsa soluzione

Le operazioni FaceStealer iniziano con l'accesso all'account di comunicazione di una vittima precedente. Gli attaccanti utilizzano quell'account autentico per contattare i contatti della vittima in merito a un recupero, una collaborazione o un'opportunità di investimento, quindi inviano un collegamento a un servizio di riunioni imitato.

All'interno del finto incontro, riproducono registrazioni webcam rubate in modo che persone riconoscibili sembrino partecipare. Affermano quindi che il bersaglio ha un problema audio o necessita di un aggiornamento. La soluzione proposta chiede al bersaglio di scaricare un file, eseguire uno script o inserire un comando che installa il malware.

La campagna si basa ancora prevalentemente su registrazioni autentiche rubate, sebbene l'avviso descriva anche video sintetici. L'inganno non richiede un volto inventato: footage autentico viene utilizzato in una conversazione che la persona registrata non sta dirigendo.

Le autorità hanno sequestrato oltre 900 registrazioni webcam di vittime durante il disramento dell'infrastruttura di FaceStealer. L'FBI attribuisce allo schema oltre 400 milioni di dollari in criptovalute rubate in 18 mesi.

Pulire il computer non ripristina il controllo del wallet

La rimozione del malware può impedire al software di continuare a operare su un dispositivo, ma non può recuperare una frase di recupero già copiata altrove. Reinstallare un'applicazione wallet, modificarne la password locale o ripristinare la stessa frase su un altro computer lascia invariate le credenziali sottostanti del wallet.

Per un wallet con frase di recupero esposta, la sostituzione significa creare un wallet con una frase nuova e spostare gli asset. Un wallet standard basato su frase di recupero non ha un soggetto emittente che possa invalidare una frase una volta copiata, ed è per questo che la sostituzione, piuttosto che la riparazione, è la strada disponibile. La guida alla migrazione di Phantom spiega che i suoi wallet esistenti basati su frase di recupero non possono semplicemente essere assegnati a una nuova frase, e consiglia di controllare token, collezionabili, asset in staking e posizioni DeFi, alcune delle quali richiedono passaggi aggiuntivi prima di poter essere spostate.

Una migrazione deve quindi tenere conto di più del saldo mostrato nella schermata iniziale del wallet. Il proprietario deve identificare gli asset e le posizioni ancora controllati dalle credenziali esposte e cessare di indirizzare i pagamenti futuri ai vecchi indirizzi.

Gli account rubati mettono a rischio il contatto successivo

L'accesso al wallet è solo uno degli usi del dispositivo compromesso. Gli attaccanti FaceStealer ottengono anche elenchi di contatti e cronologie di chat, il che consente loro di adattare l'avvicinamento a una conversazione precedente. Un messaggio su un investimento o una riunione può arrivare dall'account previsto e riferirsi a una relazione reale.

Il recupero dell'account può interrompere quella via verso ulteriori vittime, ma i contatti potrebbero aver già ricevuto inviti o visto il volto registrato del proprietario. Hanno bisogno di un avviso attraverso un altro canale consolidato. Anche i datori di lavoro devono sapere quando un dispositivo lavorativo o informazioni lavorative potrebbero essere stati esposti, anche se nessuna criptovaluta è scomparsa.

Per i futuri inviti a riunioni, la pratica consigliata è aprire l'applicazione ufficiale in modo indipendente e partecipare con il codice della riunione, confermare richieste insolite attraverso un altro canale di contatto consolidato e ottenere gli aggiornamenti separatamente anziché eseguire script o comandi forniti in chat.

Chiunque abbia seguito una "soluzione" sospetta mesi fa dovrebbe rivalutare le credenziali e gli account accessibili all'epoca. Poiché i casi descritti nell'avviso coinvolgono furti avvenuti da mesi a più di un anno dopo l'intrusione, quella rivalutazione deve risalire oltre l'attività recente fino a ogni periodo in cui il dispositivo potrebbe essere stato compromesso. Tale verifica determina se i fondi debbano essere spostati, se le sessioni degli account debbano essere terminate e se i contatti debbano essere avvisati.