Hackers met banden met Noord-Korea hebben de afgelopen 18 maanden meer dan $400 miljoen aan cryptocurrency gestolen via een geavanceerde social engineering-operatie die gebruikmaakt van nepvideobellen en door AI gegenereerde deepfakes, aldus Amerikaanse wetshandhavers. De FBI, die de campagne 'FaceStealer' heeft genoemd, zegt dat de opzet laat zien hoe cybercriminelen kunstmatige intelligentie combineren met vertrouwde online connecties om cryptocurrencyhouders en Web3-professionals te targeten.

Op 12 november kondigde het Amerikaanse Ministerie van Justitie (DOJ) de uitschakeling aan van cloudinfrastructuur die aan de campagne was gekoppeld. Volgens onderzoekers richten de aanvallers zich steeds vaker ook op ontwikkelaars van open-sourcesoftware, een verschuiving die zorgen oproept over de beveiliging van veelgebruikte digitale platformen.

Hoe de FaceStealer crypto-hack werkt

Volgens het DOJ maakten Noord-Koreaanse hackers gebruik van gecompromitteerde communicatieaccounts, heimelijk opgenomen webcambeelden en door AI gegenereerde deepfakes om hun imitaties geloofwaardig te maken.

De campagne begint doorgaans wanneer aanvallers de computer van een persoon compromitteren en heimelijk webcambeelden van de gebruiker opnemen. Vervolgens nemen ze de communicatieaccounts van het slachtoffer over en gebruiken die om contact op te nemen met de professionele en persoonlijke connecties van die persoon.

De hackers sturen overtuigende uitnodigingen voor videogesprekken, vaak doeend als mensen die hun doelwitten kennen. Tijdens deze gesprekken winnen ze vertrouwen door vooraf opgenomen beelden van eerdere slachtoffers of door AI gegenereerde video's van prominente figuren uit de crypto- en Web3-wereld te tonen. In de praktijk ondermijnt deze techniek de gangbare aanname dat een bekend gezicht tijdens een live videogesprek de identiteit van de beller bevestigt.

De aanval wordt gevaarlijker wanneer de hackers een nep-technisch probleem introduceren, zoals een audiostoring, tijdens het gesprek. Doelwitten krijgen vervolgens de instructie om op een link te klikken of probleemoplossingsstappen te volgen die stiekem malware op hun computer installeren.

Zodra een apparaat is gecompromitteerd, kunnen aanvallers toegang krijgen tot gevoelige informatie, cryptocurrency stelen en mogelijk de controle over extra communicatieaccounts overnemen.

De FBI zei dat de autoriteiten tijdens het onderzoek meer dan 900 webcamopnames van slachtoffers in beslag namen, een cijfer dat de schaal van de operatie aangeeft. In meerdere gemelde gevallen stelden hackers maanden, of in sommige gevallen meer dan een jaar, na de eerste compromittering van een apparaat cryptocurrency van slachtoffers veilig. Die vertraging betekent dat een gecompromitteerd apparaat nog lang na de eerste infectie stilletjes accounts en geld kan blootstellen.

FBI Assistant Director in Charge Patrick Grandy waarschuwde dat de campagne misbruik maakt van het vertrouwen van mensen in bekende online platformen en professionele relaties, en noemde het een "zeer effectief social engineering-plan."

Open-sourceontwikkelaars krijgen te maken met een groeiende securitydreiging

De FaceStealer-campagne gaat verder dan diefstal van cryptocurrency. De FBI meldde dat Noord-Koreaanse hackers zich steeds vaker richten op ontwikkelaars en maintainers van open-sourcesoftware om toegang te krijgen tot hun apparaten en software_repository-accounts.

Deze activiteit heeft zorgen gewekt over mogelijke aanvallen op de software supply chain. Aanvallers die vertrouwde ontwikkelaars compromitteren, kunnen mogelijk schadelijke code introduceren in veelgebruikte softwareprojecten, waardoor downstream-gebruikers mogelijk aan beveiligingsrisico's worden blootgesteld.

Die ontwikkeling verbreedt de dreiging verder dan individuele cryptocurrencyhouders, met mogelijke gevolgen voor bedrijven, softwareplatformen en bredere digitale infrastructuur.

Noord-Korea's groeiende cryptocurrency-diefstaloperaties

De nieuwste campagne voegt toe aan Noord-Korea's geschiedenis van cyberaanvallen in verband met cryptocurrency. Een historische analyse van TRM Labs toont dat aan Noord-Korea toegeschreven crypto-diefstal in 2022 ongeveer $790 miljoen bedroeg, tegen ongeveer $205 miljoen in 2023.

Hoewel individuele diefstaltotalen aanzienlijk kunnen fluctueren van jaar tot jaar, illustreren deze cijfers de schaal van de cryptocurrency-diefstaloperaties van het land. De meer dan $400 miljoen die aan FaceStealer wordt toegeschreven over de afgelopen 18 maanden onderstreept bovendien de financiële impact van deze gerichte aanvallen.

FBI schakelt infrastructuur achter de FaceStealer crypto-hack uit

Het DOJ bevestigde dat de gecoördineerde operatie resulteerde in de inbeslagname van cloudinfrastructuur die de campagne ondersteunde. De FBI publiceerde ook een technisch rapport met daarin details over hoe de opzet werkt en beveiligingsmaatregelen voor mogelijke slachtoffers, samen met een speciale hulppagina over FaceStealer.

Het onderzoek benadrukt het belang van sterkere verificatieprocedures tijdens online bijeenkomsten, extra voorzichtigheid bij het openen van onbekende links en betere bescherming van communicatie- en softwareontwikkelingsaccounts.

Nu door AI gegenereerde imitaties steeds overtuigender worden, toont de FaceStealer-campagne aan dat cybersecuritydreigingen niet langer beperkt zijn tot technische kwetsbaarheden. Het uitbuiten van menselijk vertrouwen is een andere effectieve manier geworden om toegang te krijgen tot waardevolle cryptocurrencybezittingen en digitale infrastructuur.