Ostrzeżenie z 12 listopada opublikowane za pośrednictwem Internet Crime Complaint Center (IC3) FBI — kanału biura służącego do zbierania zgłoszeń przestępstw internetowych i publikowania publicznych alertów — opisuje opóźnienia od kilku miesięcy do ponad roku między pierwotnym włamaniem a kradzieżą kryptowalut w kilku zgłoszonych przypadkach związanych z FaceStealer, operacją z Korei Północnej, która wykorzystuje przejęte konta komunikacyjne i fałszywe spotkania wideo, aby nakłonić ofiary do zainstalowania złośliwego oprogramowania. Ostrzeżenie kierowane jest do osób, które mogły dawno temu wykonać złośliwe instrukcje rozwiązywania problemów: brak nieautoryzowanych transferów, jak przestrzega biuro, nie oznacza, że dane logowania do portfela pozostały prywatne.

Dlaczego portfel może wyglądać normalnie po kradzieży frazy

Fraza odzyskiwania pozwala kompatybilnemu oprogramowaniu portfela odtworzyć klucze prywatne używane do autoryzacji transakcji. W standardowym portfelu opartym na frazie odzyskiwania każdy, kto posiada frazę, może przywrócić dostęp na innym urządzeniu bez odebrania dostępu właścicielowi, co oznacza, że obie strony mogą następnie dysponować środkami umożliwiającymi wydanie środków.

Skopiowanie frazy nie powoduje przemieszczenia kryptowalut. Eksplorator bloków może wyświetlić wpłaty i transfery, ale nie może ujawnić, że inna osoba uzyskała informacje potrzebne do autoryzacji przyszłej wypłaty. Właściciel może zatem normalnie korzystać z portfela, podczas gdy atakujący czeka na pojawienie się większego salda.

Ostrzeżenie z 12 listopada opisuje atakujących działających dokładnie w ten sposób. Nie podaje średniego okresu oczekiwania ani szacunku, jak często przełamanie zabezpieczeń prowadzi do odroczonej kradzieży. Jego konkluzja jest węższa: w kilku zgłoszonych przypadkach kradzież i przejęcie konta komunikacyjnego nastąpiły od kilku miesięcy do ponad roku po włamaniu.

Zakres narażenia zależy od tego, do czego atakujący mieli dostęp. Fraza odzyskiwania zapisana na zainfekowanym komputerze stanowi inne ryzyko niż fraza, która nigdy nie była dostępna dla tego urządzenia, a sama infekcja komputera nie oznacza, że każdy portfel używany przez właściciela utracił swoje klucze.

Jak znajomy kontakt podsuwa fałszywą naprawę

Operacje FaceStealer zaczynają się od uzyskania dostępu do konta komunikacyjnego poprzedniej ofiary. Atakujący wykorzystują to prawdziwe konto, aby odezwać się do kontaktów ofiary w sprawie spotkania, współpracy lub okazji inwestycyjnej, a następnie wysyłają link do imitacji usługi spotkań.

Podczas fałszywego spotkania odtwarzają skradzione nagrania z kamer internetowych, tak aby rozpoznawalne osoby wydawały się uczestniczyć. Następnie twierdzą, że cel ma problem z dźwiękiem lub wymaga aktualizacji. Proponowane rozwiązanie nakłania cel do pobrania pliku, uruchomienia skryptu lub wpisania polecenia instalującego złośliwe oprogramowanie.

Kampania nadal opiera się predominantly na prawdziwych skradzionych nagraniach, choć ostrzeżenie opisuje również materiały wideo generowane syntetycznie. Oszustwo nie wymaga wymyślonej twarzy: autentyczne nagrania są wykorzystywane w rozmowie, którą rejestrowana osoba nie kieruje.

Organy ścigania przejęły ponad 900 nagrań ofiar z kamer internetowych podczas zlikwidowania infrastruktury FaceStealer. FBI przypisuje tej operacji ponad 400 milionów dolarów skradzionych kryptowalut w ciągu 18 miesięcy.

Czyszczenie komputera nie przywraca kontroli nad portfelem

Usunięcie złośliwego oprogramowania może uniemożliwić mu dalsze działanie na urządzeniu, ale nie może odzyskać frazy odzyskiwania już skopiowanej gdzie indziej. Ponowna instalacja aplikacji portfela, zmiana lokalnego hasła lub przywrócenie tej samej frazy na innym komputerze nie zmienia podstawowych danych logowania portfela.

Dla narażonego portfela opartego na frazie odzyskiwania wymiana oznacza utworzenie portfela z nową frazą i przeniesienie aktywów. Standardowy portfel oparty na frazie odzyskiwania nie ma podmiotu emitującego, który mógłby unieważnić frazę po jej skopiowaniu, dlatego dostępną drogą jest wymiana, a nie naprawa. Wskazówki migracji Phantom wyjaśniają, że istniejących portfeli opartych na frazie odzyskiwania nie można po prostu przypisać do nowej frazy, i zalecają sprawdzenie tokenów, kolekcjonerskich przedmiotów, stakowanych aktywów i pozycji DeFi, z których niektóre wymagają dodatkowych kroków przed przeniesieniem.

Migracja musi zatem uwzględniać więcej niż saldo wyświetlane na ekranie startowym portfela. Właściciel musi zidentyfikować aktywa i pozycje nadal kontrolowane przez narażone dane logowania i przestać kierować przyszłe płatności na stare adresy.

Skradzione konta narażają kolejne kontakty

Dostęp do portfela to tylko jedno z zastosowań skompromitowanego urządzenia. Atakujący FaceStealer uzyskują również listy kontaktów i historie czatów, co pozwala im dostosować podejście do wcześniejszej rozmowy. Wiadomość o inwestycji lub spotkaniu może dotrzeć z oczekiwanego konta i odwoływać się do prawdziwej relacji.

Odzyskanie konta może przerwać tę drogę do kolejnych ofiar, ale kontakty mogły już otrzymać zaproszenia lub zobaczyć nagraną twarz właściciela. Potrzebują ostrzeżenia przekazanego innym, sprawdzeniem kanałem komunikacji. Pracodawcy również muszą wiedzieć, kiedy urządzenie służbowe lub informacje służbowe mogły zostać narażone, nawet jeśli żadna kryptowaluta nie zniknęła.

W przypadku przyszłych zaproszeń na spotkania zalecaną praktyką jest samodzielne otwarcie oficjalnej aplikacji i dołączenie przy użyciu kodu spotkania, potwierdzanie nietypowych próśb innym, sprawdzeniem kanałem kontaktu oraz uzyskiwanie aktualizacji osobno zamiast uruchamiania skryptów lub poleceń przesłanych na czacie.

Każdy, kto miesiące temu wykonał podejrzaną „naprawę”, powinien ponownie ocenić dane logowania i konta, które były wówczas dostępne. Ponieważ przypadki opisane w ostrzeżeniu obejmują kradzież następującą od kilku miesięcy do ponad roku po włamaniu, ta ponowna ocena musi sięgnąć wstecz poza niedawną aktywność, do każdego okresu, w którym urządzenie mogło być skompromitowane. Taka weryfikacja określa, czy środki muszą zostać przeniesione, sesje kont muszą zostać zakończone, a kontakty muszą zostać ostrzeżone.