DOJ verstoort Noord-Koreaans nep-gespreksschema dat $400 miljoen aan crypto stal

Het Amerikaanse ministerie van Justitie meldde donderdag dat het cloudinfrastructuur in beslag heeft genomen die werd gebruikt in een Noord-Koreaanse campagne met nep-videogesprekken, waarmee in de afgelopen 18 maanden meer dan $400 miljoen aan cryptocurrency is gestolen.

De campagne, die door de FBI FaceStealer is gedoopt, maakt gebruik van accounts die van eerdere slachtoffers zijn gestolen om hun contacten uit te nodigen voor bijeenkomsten, volgens de aankondiging van het ministerie van 12 november. Tijdens deze gesprekken spelen aanvallende partijen heimelijk opgenomen webcambeelden van personen die het doelwit kent, of deepfakevideo's van prominente cryptofiguren, om de bijeenkomsten legitiem te doen lijken.

"Het exploiteert ons vertrouwen in alomtegenwoordige videobelplatforms en gewaardeerde persoonlijke relaties," aldus Patrick Grandy, assistent-directeur van het veldkantoor van de FBI in Los Angeles, in de aankondiging.

Hoe het schema werkt

Tijdens een gesprek beweren aanvallende partijen dat er een technisch probleem is—zoals een niet werkende audio van het doelwit—and bieden een link of prompt aan om dit op te lossen. Die zogenaamde oplossing installeert malware op de computer van het doelwit, aldus het DOJ. De FaceStealer-informatiepagina van de FBI beschrijft het gebruik van realistische nageboetse versies van videobelplatforms.

De blootstelling reikt verder dan de cryptobezittingen van een individu. Volgens het DOJ kunnen aanvallende partijen de toegang van een gecompromitteerde gebruiker tot andere computerinfrastructuur misbruiken en richten zij zich steeds vaker op open-sourceontwikkelaars en maintainers om toegang te krijgen tot software-repository-accounts. Het lijkt erop dat deze targeting is bedoeld om aanvallen op de software-supplychain mogelijk te maken, aldus het ministerie—waarmee mogelijk ook gebruikers van de betreffende software worden getroffen, volgens de FBI. Concreet betekent die beoordeling dat de mogelijke reikwijdte van de campagne verder reikt dan de direct gecompromitteerde personen, tot iedereen die afhankelijk is van de betreffende software.

Op basis van een federaal bevel nam de FBI meer dan 900 webcamvideo's van FaceStealer-slachtoffers in beslag, aldus het DOJ. Aanvallende partijen verzamelen ook de contactlijsten en communicatieaccounts van slachtoffers om de volgende groep doelwitten te benaderen. In verschillende gerapporteerde gevallen vond de cryptodiefstal en het kapen van accounts maanden tot meer dan een jaar na de oorspronkelijke inbreuk plaats, aldus het ministerie—een vertraging die laat zien hoe een inbreuk maandenlang onopgemerkt kan blijven terwijl aanvallende partijen door de verzamelde contacten en accounts van een slachtoffer werken.

Het lokkertje met videogesprekken bouwt voort op een patroon waarover de FBI in september 2024 waarschuwde, toen het verzoeken markeerde om scripts uit te voeren om gesprekken mogelijk te maken als een mogelijk teken van Noord-Koreaanse social engineering. Zoals The Defiant destijds meldde, behoorden medewerkers van DeFi tot de doelwitten. Dat eerdere advies beval aan contacten te verifiëren via aparte, niet-gekoppelde communicatieplatforms en te beperken welke bestanden zakelijke apparaten kunnen downloaden of uitvoeren. Beide aanbevelingen zijn gericht op de twee genoemde ingangspunten van het schema: nageboetse identiteiten tijdens gesprekken en de kwaadwillende oplossingsprompt.

Aparte actie richt zich op gestolen Binance-activa

In dezelfde aankondiging meldde het DOJ dat het van de rechtbank de bevoegdheid had verkregen om meer dan $1,2 miljard aan activa in beslag te nemen of te bevriezen die verband houden met een aparte diefstal bij Binance. Dat bedrag maakt deel uit van meer dan $2,7 miljard die via overheids- en private-sectorinspanningen is bevroren, en is dus geen extra teruggewonnen bedrag daarbovenop.

De FBI schreef die diefstal van meer dan $6 miljard, die plaatsvond rond 29 oktober, toe aan Noord-Koreaanse activiteit die zij TraderTraitor noemt. Het DOJ maakte expliciet onderscheid tussen TraderTraitor en FaceStealer. Dat onderscheid is belangrijk voor de opsporing: FaceStealer beschrijft de campagne met nep-videogesprekken, terwijl TraderTraitor betrekking heeft op de aparte diefstal en het bijbehorende witwasspoor.

De inspanningen om de Binance-activa op te sporen, te bevriezen, in beslag te nemen en te verbeurd te verklaren lopen nog steeds, nu de aanvallende partijen fondsen witwassen via bridges, mixers en exchanges, aldus het DOJ.

Bron: CryptoNewsNet