Secondo il Dipartimento di Giustizia statunitense, gli hacker nordcoreani hanno utilizzato account sottratti a vittime precedenti per invitare nuovi bersagli a videochiamate, durante le quali hanno riprodotto filmati webcam registrati di nascosto di persone che i bersagli conoscevano.

Lo schema, monitorato dall'FBI con il nome FaceStealer, ha rubato oltre 400 milioni di dollari in criptovalute in un periodo di 18 mesi, ha dichiarato giovedì il dipartimento. Le autorità hanno affermato di aver abbattuto l'infrastruttura cloud di FaceStealer, e l'FBI ha sequestrato con un mandato federale oltre 900 video webcam delle vittime dello schema — registrazioni del tipo utilizzato dallo schema per impersonare contatti fidati nelle chiamate successive.

Un falso problema audio ha indotto i bersagli a installare malware

Nel suo comunicato, il DOJ ha dichiarato che le bande dietro l'operazione prendono di mira le persone che lavorano nel settore crypto e web3. Quando un bersaglio entra in una chiamata, gli hacker registrano la webcam della persona stessa mentre riproducono filmati preregistrati di un contatto noto, simulando la presenza di un collega fidato nella chiamata.

Gli hacker producono anche video deepfake di figure influenti del mondo crypto e web3 — ciò che il dipartimento ha definito "super intelligence" — e li riprogettano nelle stesse riunioni.

A metà della chiamata compare un falso guasto tecnico — ad esempio, l'affermazione che il bersaglio non viene sentito. Segue quindi un link o un messaggio che offre di "risolvere" il problema; se lo si apre, viene installato silenziosamente un malware sulla macchina della vittima.

Una volta compromesso il computer, gli hacker possono rubare criptovalute o sfruttare l'accesso del bersaglio ad altri sistemi. In alcuni casi, i furti e gli account takeover si sono verificati da alcuni mesi a più di un anno dopo l'intrusione iniziale.

Gli hacker frugano anche negli elenchi di contatti, nei social media e nelle app di messaggistica di ogni nuova vittima. I contatti personali e professionali ivi individuati diventano i prossimi bersagli.

"Sfrutta la nostra fiducia nelle onnipresenti piattaforme di videoconferenza e nelle preziose relazioni personali. Se non riesci a immaginare uno scenario in cui potresti esserne vittima, non stai pensando con sufficiente creatività", ha dichiarato Patrick Grandy, assistant director in charge dell'ufficio dell'FBI di Los Angeles.

Sviluppatori open source nel mirino mentre il DOJ blocca 1,2 miliardi di dollari

Gli sviluppatori di software open source sono sempre più nel mirino. Gli hacker prendono di mira i loro dispositivi e gli account di repository di codice che controllano, il che, secondo il DOJ, sembra progettato per abilitare attacchi alla supply chain — una tecnica che utilizza i sistemi o il codice di uno sviluppatore compromesso per raggiungere i progetti e gli utenti che ne dipendono.

Il dipartimento ha collegato la campagna FaceStealer a gruppi nordcoreani che ha identificato come Sapphire Sleet, UNC1069, Dangerous Password, CryptoCore, APT38, BlueNoroff e Stardust Chollima.

A febbraio, Cryptopolitan ha riferito che UNC1069 ha dirottato l'account Telegram di un dirigente del settore crypto per attirare un bersaglio in una finta chiamata Zoom. Gli attaccanti hanno quindi simulato problemi audio e hanno indotto la vittima a eseguire comandi di risoluzione dei problemi, replicando il pretesto del guasto audio descritto nel comunicato del DOJ su FaceStealer.

L'FBI ha pubblicato un rapporto su come funziona lo schema, compresi passi di protezione e consigli per le vittime, e ha creato un sito web dedicato a FaceStealer come hub di risorse.

Il DOJ ha abbinato il sequestro di FaceStealer a una seconda azione: ha ottenuto l'approvazione del tribunale per sequestrare o bloccare oltre 1,2 miliardi di dollari rubati da Binance, parte dei oltre 2,7 miliardi di dollari congelati finora.

Il dipartimento ha attribuito ai military hacker nordcoreani, che chiama TraderTraitor, il drenaggio di oltre 6 miliardi di dollari dall'exchange intorno al 29 ottobre. La Corea del Nord ha negato qualsiasi coinvolgimento nei furti.

"Il governo nordcoreano finanzia il proprio regime canaglia e il programma di armamenti illeciti attraverso il furto di criptovalute", ha dichiarato M. Scott Proctor, Principal Deputy Assistant Attorney General per la Sicurezza Nazionale.

TraderTraitor sta ancora riciclando i fondi di Binance tramite crypto bridge, mixer ed exchange. Gli sforzi per tracciarli, congelarli, sequestrarli e confiscarli continuano.