Noord-Koreaanse hackers gebruikten accounts die van eerdere slachtoffers waren gestolen om nieuwe doelwitten naar videogesprekken te lokken, waar zij heimelijk opgenomen webcambeelden afspeelden van mensen die die doelwitten kenden, aldus het Amerikaanse ministerie van Justitie.

Het complot, door de FBI gevolgd onder de naam FaceStealer, stal in achttien maanden tijd meer dan $400 miljoen aan cryptocurrency, zei het ministerie donderdag. De autoriteiten verklaarden dat zij de cloudinfrastructuur van FaceStealer offline hadden gehaald, en de FBI nam onder een federaal bevel meer dan 900 webcamvideo's van slachtoffers van het complot in beslag — opnames van het type dat het complot gebruikte om vertrouwde contacten te imiteren in latere gesprekken.

Verzonnen audiostoring lokte doelwitten malware te installeren

In zijn verklaring zei het ministerie van Justitie dat de bendes achter de operatie mensen aanvallen die werkzaam zijn in crypto en web3. Wanneer een doelwit deelneemt aan een gesprek, nemen de hackers de eigen webcam van die persoon op ter zij vooraf opgenomen beelden van een bekende contact afspelen, waarmee zij de aanwezigheid van een vertrouwde collega in het gesprek veinzen.

De hackers produceren ook deepfake-video's van invloedrijke figuren in crypto en web3 — wat het ministerie "super intelligence" noemde — en spelen deze af in dezelfde vergaderingen.

Halverwege het gesprek verschijnt er een verzonnen technische storing — bijvoorbeeld de claim dat het doelwit niet te horen is. Vervolgens volgt een link of melding die aanbiedt het probleem te "repareren"; het openen ervan installeert stilletjes malware op de machine van het slachtoffer.

Zodra de computer is gecompromitteerd, kunnen de hackers cryptocurrency stelen of het toegangsrecht van het doelwit tot andere systemen benutten. In sommige gevallen vonden de diefstallen en accountovernames plaats maanden tot meer dan een jaar na de eerste inbraak.

De hackers doorzoeken ook de contactenlijsten, sociale media en berichtenapps van elk nieuw slachtoffer. Persoonlijke en zakelijke contacten die daar worden gevonden, worden de volgende doelwitten.

"Het misbruikt ons vertrouwen in alomtegenwoordige videoconferentieplatformen en waardevolle persoonlijke relaties. Als je je geen scenario kunt voorstellen waarin je hiervan het slachtoffer zou kunnen worden, denk je niet creatief genoeg", zei Patrick Grandy, assistant director in charge van het FBI-kantoor in Los Angeles.

Open-sourceontwikkelaars het doelwit terwijl het ministerie van Justitie $1,2 miljard blokkeert

Open-source softwareontwikkelaaren komen steeds vaker in het vizier. De hackers richten zich op hun apparaten en de code-repositoryaccounts die zij beheren, wat volgens het ministerie van Justitie erop lijkt ontworpen om supply-chainaanvallen mogelijk te maken — een techniek die de systemen of code van één gecompromitteerde ontwikkelaar gebruikt om de projecten en gebruikers die ervan afhankelijk zijn te bereiken.

Het ministerie koppelde de FaceStealer-campagne aan Noord-Koreaanse groepen die het benoemde als Sapphire Sleet, UNC1069, Dangerous Password, CryptoCore, APT38, BlueNoroff en Stardust Chollima.

In februari meldde Cryptopolitan dat UNC1069 het Telegram-account van een crypto-bestuurder had gekaapt om een doelwit naar een nep-Zoomgesprek te lokken. De aanvallers veinzen toen audioproblemen en lieten het slachtoffer probleemoplossingscommando's uitvoeren, in lijn met het audiostoring-voorwendsel dat in de FaceStealer-verklaring van het ministerie van Justitie werd beschreven.

De FBI publiceerde een rapport over hoe het complot werkt, inclusief beschermende maatregelen en advies voor slachtoffers, en richtte een speciale FaceStealer-website op als informatiehub.

Het ministerie van Justitie koppelde de inbeslagname van FaceStealer aan een tweede actie: het verkreeg goedkeuring van de rechter om meer dan $1,2 miljard te vorderen of te blokkeren dat van Binance was gestolen, onderdeel van meer dan $2,7 miljard dat tot nu toe is bevroren.

Het ministerie wees Noord-Koreaanse militaire hackers, die het TraderTraitor noemt, aan voor het wegsifoneren van meer dan $6 miljard van de beurs rond 29 oktober. Noord-Korea ontkent enige betrokkenheid bij de diefstallen.

"De regering van Noord-Korea financiert haar schurkenstaat en illegale wapenprogramma door diefstal van cryptocurrency", zei M. Scott Proctor, Principal Deputy Assistant Attorney General for National Security.

TraderTraitor wit de Binance-middelen nog steeds wit via crypto bridges, mixers en beurzen. De pogingen om deze middelen op te sporen, te bevriezen, in beslag te nemen en te verbeurd te verklaren, gaan door.