Hacker legati alla Corea del Nord hanno rubato oltre 400 milioni di dollari in criptovalute negli ultimi 18 mesi attraverso una sofisticata operazione di ingegneria sociale basata su false videochiamate e deepfake generati con l'intelligenza artificiale, secondo funzionanti delle forze dell'ordine statunitensi. L'FBI, che ha denominato la campagna "FaceStealer", afferma che lo schema dimostra come i cybercriminali stiano combinando l'intelligenza artificiale con connessioni online fidate per colpire i detentori di criptovalute e i professionisti del Web3.

Il 12 novembre, il Dipartimento di Giustizia degli Stati Uniti (DOJ) ha annunciato lo smantellamento di infrastrutture basate sul cloud legate alla campagna. Secondo gli investigatori, gli attaccanti hanno inoltre bersagliato in modo crescente gli sviluppatori di software open source, un cambiamento che solleva preoccupazioni sulla sicurezza delle piattaforme digitali ampiamente utilizzate.

Come opera l'hack crittografico FaceStealer

Secondo il DOJ, gli hacker nordcoreani si sono affidati a account di comunicazione compromessi, registrazioni webcam effettuate di nascosto e deepfake generati con l'IA per rendere credibili le loro impersonificazioni.

La campagna inizia in genere quando gli attaccanti compromettono il computer di una persona e registrano di nascosto le riprese della webcam dell'utente. Successivamente prendono il controllo degli account di comunicazione della vittima e li utilizzano per contattare i suoi conoscenti professionali e personali.

Gli hacker inviano invitanti richieste di riunioni video, spesso fingendosi persone conosciute dai loro bersagli. Durante queste chiamate, costruiscono la fiducia mostrando registrazioni preregistrate di vittime precedenti o video generati con l'IA di figure di spicco del mondo delle criptovalute e del Web3. In pratica, questa tecnica mina l'assunzione comune secondo cui un volto familiare in una videochiamata dal vivo confermi l'identità del chiamante.

L'attacco diventa più pericoloso quando gli hacker introducono un falso problema tecnico, come un malfunzionamento audio, durante la chiamata. I bersagli vengono quindi istruiti a cliccare un link o a seguire passaggi di risoluzione dei problemi che installano di nascosto malware sul loro computer.

Una volta compromesso il dispositivo, gli attaccanti possono accedere a informazioni sensibili, rubare criptovalute e potenzialmente prendere il controllo di ulteriori account di comunicazione.

L'FBI ha dichiarato che le autorità hanno sequestrato oltre 900 registrazioni webcam delle vittime nel corso dell'indagine, una cifra che indica la portata dell'operazione. In diversi casi documentati, gli hacker hanno rubato criptovalute alle vittime mesi, o in alcuni casi più di un anno, dopo aver compromesso inizialmente i loro dispositivi. Questo ritardo significa che un dispositivo compromesso può esporre silenziosamente account e fondi molto tempo dopo l'infezione iniziale.

Patrick Grandy, Assistant Director in Charge dell'FBI, ha avvertito che la campagna sfrutta la fiducia delle persone nelle piattaforme online familiari e nelle relazioni professionali, descrivendola come uno "schema di ingegneria sociale altamente efficace".

Gli sviluppatori open source affrontano una minaccia alla sicurezza in crescita

La campagna FaceStealer va oltre il furto di criptovalute. L'FBI ha riferito che gli hacker nordcoreani hanno sempre più bersagliato sviluppatori e maintainer di software open source per ottenere l'accesso ai loro dispositivi e agli account dei repository software.

Questa attività ha sollevato preoccupazioni per potenziali attacchi alla supply chain del software. Gli attaccanti che compromettono sviluppatori fidati potrebbero essere in grado di introdurre codice malevolo in progetti software ampiamente utilizzati, esponendo potenzialmente gli utenti a valle a rischi per la sicurezza.

Questo sviluppo amplia la minaccia oltre i singoli detentori di criptovalute, con potenziali conseguenze per le imprese, le piattaforme software e la più ampia infrastruttura digitale.

Le operazioni di furto di criptovalute della Corea del Nord in espansione

L'ultima campagna si aggiunge alla storia di attacchi informatici legati alle criptovalute della Corea del Nord. Una valutazione storica pubblicata da TRM Labs mostra che il furto di criptovalute attribuito alla Corea del Nord ha raggiunto circa 790 milioni di dollari nel 2022, rispetto a circa 205 milioni di dollari nel 2023.

Sebbene i totali dei singoli furti possano fluttuare considerevolmente da un anno all'altro, queste cifre illustrano la scala delle operazioni di furto di criptovalute del paese. I oltre 400 milioni di dollari attribuiti a FaceStealer negli ultimi 18 mesi evidenziano ulteriormente l'impatto finanziario di questi attacchi mirati.

L'FBI smantella l'infrastruttura alla base dell'hack crittografico FaceStealer

Il DOJ ha confermato che l'operazione coordinata ha portato al sequestro delle infrastrutture basate sul cloud a supporto della campagna. L'FBI ha inoltre pubblicato un rapporto tecnico che dettaglia il funzionamento dello schema e delinea le misure di sicurezza per le potenziali vittime, insieme a una pagina di risorse dedicata su FaceStealer.

L'indagine evidenzia l'importanza di procedure di verifica più rigorose durante le riunioni online, di una maggiore cautela nell'aprire link sconosciuti e di una migliore protezione degli account di comunicazione e di sviluppo software.

Mentre le impersonificazioni generate con l'IA diventano sempre più convincenti, la campagna FaceStealer dimostra che le minacce alla cibersicurezza non si limitano più alle vulnerabilità tecniche. Lo sfruttamento della fiducia umana è diventato un altro modo efficace per ottenere l'accesso a preziose risorse in criptovalute e infrastrutture digitali.