Departament Sprawiedliwości USA rozbił północnokoreański schemat kradzieży kryptowalut za pomocą fałszywych rozmów wideo

Amerykański Departament Sprawiedliwości poinformował w czwartek, że przejął infrastrukturę chmurową używaną w północnokoreańskiej kampanii podszywania się podczas rozmów wideo, która w ciągu ostatnich 18 miesięcy ukradła kryptowaluty warte ponad 400 milionów dolarów.

Według ogłoszenia departamentu z 12 listopada kampania, którą FBI nazwało FaceStealer, opiera się na kontach skradzionych wcześniejszym ofiarom, aby zapraszać ich kontakty na spotkania. Podczas tych rozmów atakujący odtwarzają potajemnie nagrane materiały z kamer internetowych osób znanych przez cel lub deepfake'i znanych postaci świata kryptowalut, aby spotkania wyglądały na autentyczne.

„To wykorzystuje nasze zaufanie do wszechobecnych platform wideokonferencyjnych oraz cennych relacji osobistych” — powiedział Patrick Grandy, zastępca dyrektora odpowiedzialny za biuro FBI w Los Angeles, w komunikacie.

Jak działa schemat

Podczas rozmowy atakujący twierdzą, że wystąpił problem techniczny — na przykład że dźwięk u celu nie działa — i podają link lub polecenie mające go rozwiązać. Ta rzekoma poprawka instaluje złośliwe oprogramowanie na komputerze celu, poinformowało DOJ. Strona FBI poświęcona FaceStealer opisuje stosowanie realistycznych, imitowanych wersji platform wideokonferencyjnych.

Zagrożenie wykracza poza posiadane przez daną osobę kryptowaluty. Według DOJ atakujący mogą wykorzystać dostęp skompromitowanego użytkownika do innej infrastruktury komputerowej, a coraz częściej celują w programistów i opiekunów projektów open source, aby uzyskać dostęp do kont w repozytoriach oprogramowania. Jak poinformował departament, takie celowanie wygląda na próbę umożliwienia ataków na łańcuch dostaw oprogramowania — potencjalnie obejmujących użytkowników dotkniętego oprogramowania, według FBI. W praktyce oznacza to, że potencjalny zasięg kampanii wykracza poza osoby bezpośrednio skompromitowane na wszystkich, którzy korzystają z dotkniętego oprogramowania.

Na podstawie federalnego nakazu FBI przejęło ponad 900 nagrań z kamer internetowych ofiar FaceStealer, poinformowało DOJ. Atakujący przejmują również listy kontaktów ofiar oraz ich konta komunikacyjne, aby docierać do kolejnych celów. W kilku zgłoszonych przypadkach kradzież kryptowalut i przejęcie kont nastąpiły od kilku miesięcy do ponad roku po pierwotnym kompromitacji — to opóźnienie pokazuje, jak włamanie może pozostawać niewykryte przez miesiące, podczas gdy atakujący wykorzystują przejęte kontakty i konta ofiary.

Przynęta w postaci rozmowy wideo nawiązuje do schematu, przed którym FBI ostrzegało we wrześniu 2024 roku, gdy oznaczyło prośby o uruchamianie skryptów w celu włączenia rozmów jako potencjalny sygnał północnokoreańskich działań inżynierii społecznej. Jak wówczas donosiła The Defiant, wśród celów byli pracownicy DeFi. Tamte zalecenia wskazywały na konieczność weryfikacji kontaktów poprzez oddzielne, niezależne platformy komunikacyjne oraz ograniczenia dotyczące plików, które urządzenia firmowe mogą pobierać lub uruchamiać. Oba zalecenia odnoszą się do dwóch deklarowanych punktów wejścia schematu: podszywania się pod tożsamości podczas rozmów oraz fałszywego polecenia naprawy.

Odrębna akcja dotyczy skradzionych aktywów z Binance

W tym samym komunikacie DOJ poinformowało, że uzyskało zgodę sądu na zajęcie lub zablokowanie ponad 1,2 miliarda dolarów aktywów związanych z odrębną kradzieżą na giełdzie Binance. Kwota ta stanowi część ponad 2,7 miliarda dolarów zamrożonych w ramach działań rządu i sektora prywatnego, a nie dodatkowe odzyskane środki.

FBI przypisało tę kradzież ponad 6 miliardów dolarów, do której doszło około 29 października, północnokoreańskiej działalności nazwanej TraderTraitor. DOJ wyraźnie odróżniło ją od FaceStealer. To rozróżnienie ma znaczenie dla śledzenia: FaceStealer opisuje kampanię podszywania się podczas rozmów wideo, natomiast TraderTraitor obejmuje odrębną kradzież oraz jej ślad prania pieniędzy.

Działania mające na celu śledzenie, zamrażanie, zajmowanie i konfiskatę aktywów z Binance trwają nadal, ponieważ atakujący przepłukują środki poprzez bridge'e, mixery i giełdy, poinformowało DOJ.

Źródło: CryptoNewsNet