北朝鮮のハッカーが、過去の被害者から盗んだアカウントを使って新たな標的をビデオ通話に招き、その標的が知る人物の秘匿録画済みウェブカメラ映像を再生していたことが、米司法省の発表で明らかになった。

FBIがFaceStealerの名称で追跡するこの作戦は、18カ月間で4億ドルを超える暗号資産を窃取したと、司法省が木曜日に発表した。当局によると、FaceStealerのクラウド基盤は排除され、FBIは連邦令状に基づき被害者のウェブカメラ映像900件以上を押収した。これらは、この作戦が後の通話で信頼できる相手を装うために使った種類の録画である。

架空の音声不具合でマルウェアをインストールさせる手口

司法省の発表によると、このグループは暗号資産・web3業界の従事者を標的としている。標的が通話に参加すると、ハッカーはその人物自身のウェブカメラを録画すると同時に、既知の相手の事前録画映像を再生し、信頼できる同僚が通話に参加しているように装う。

ハッカーはさらに、暗号資産・web3業界の影響力ある人物のディープフェイク映像を作成し(司法省はこれを「超知能(super intelligence)」と呼んだ)、同じ会議内で再生する。

通話の途中で、例えば「標的の声が相手に届いていない」などといった偽の技術的トラブルが発生する。その後、問題を「修正」するというリンクやプロンプトが表示され、開くと被害者の端末に密かにマルウェアがインストールされる。

端末が侵害されると、ハッカーは暗号資産を盗んだり、標的の他システムへのアクセスを悪用したりできる。場合によっては、窃取やアカウント乗っ取りが、当初の侵入から数カ月から1年以上後に発生していた。

ハッカーはさらに、新たな被害者ごとに連絡先リスト、SNS、メッセージアプリを調べ、そこで発見された私的・業務上の交流相手を次の標的としている。

「これは、誰もが使うビデオ会議プラットフォームと大切な人間関係に対する私たちの信頼をつけ狙うものです。自分が罠にかれる状況を想像できないのであれば、想像力が足りていません」と、FBIロサンゼルス支局の副支局長パトリック・グランディ氏は述べた。

オープンソース開発者が標的に、司法省は12億ドルを凍結

オープンソースソフトウェアの開発者がますます標的となっている。ハッカーは開発者の端末と、その管理下にあるコードリポジトリアカウントを攻撃しており、司法省はこれがサプライチェーン攻撃を可能にするためのものとみられるとしている。これは、侵害された一人の開発者のシステムやコードを起点に、それに依存するプロジェクトやユーザーへと攻撃を広げる手法である。

司法省は、このFaceStealer作戦を、Sapphire Sleet、UNC1069、Dangerous Password、CryptoCore、APT38、BlueNoroff、Stardust Chollimaと名付けた北朝鮮グループに結び付けた。

2月には、UNC1069が暗号資産企業幹部のTelegramアカウントを乗っ取り、標的を偽のZoom通話に誘い込んだとCryptopolitanが報じている。攻撃者はその後、音声の不具合を装い、被害者にトラブルシューティング用コマンドを実行させており、司法省のFaceStealer発表で述べられた音声トラブルの口実と同じ手口である。

FBIはこの手口の仕組み、被害防止策、被害者向けの助言を含む報告書を公表し、リソースハブとしてFaceStealer専用サイトも開設した。

司法省はFaceStealerの押収と並行して、もう一つの措置で裁判所の承認を取得し、Binanceから盗まれた12億ドル超の差し押さえ・凍結を可能にした。これはこれまでに凍結された27億ドル超の一部である。

司法省は、10月29日頃に取引所から60億ドル超を流出させたとして、TraderTraitorと呼ぶ北朝鮮軍ハッカーを非難した。北朝鮮は窃盗への関与を否定している。

「北朝鮮政府は、暗号資産の窃取によって無法な体制と非合法な兵器計画に資金を供給しています」と、国家安全保障局上級副次官補のM・スコット・プロクター氏は述べた。

TraderTraitorは依然として、暗号資産ブリッジ、ミキサー、取引所を通じてBinance資金をロンダリングしている。追跡、凍結、押収、没収の取り組みは継続している。