Według amerykańskich organów ścigania hakerzy powiązani z Koreą Północną ukradli w ciągu ostatnich 18 miesięcy ponad 400 milionów dolarów w kryptowalutach w ramach wyrafinowanej operacji socjotechnicznej opartej na fałszywych połączeniach wideo i deepfake’ach generowanych przez sztuczną inteligencję. FBI, które nazwało tę kampanię „FaceStealer”, wskazuje, że schemat pokazuje, jak cyberprzestępcy łączą sztuczną inteligencję z zaufanymi połączeniami internetowymi, aby atakować posiadaczy kryptowalut i profesjonalistów z branży Web3.

12 listopada amerykański Departament Sprawiedliwości (DOJ) ogłosił zniszczenie infrastruktury chmurowej powiązanej z kampanią. Według śledczych atakujący coraz częściej celowali także w programistów oprogramowania open-source, co budzi obawy o bezpieczeństwo powszechnie używanych platform cyfrowych.

Jak działa krypto-włamanie FaceStealer

Według DOJ północnokoreańscy hakerzy wykorzystywali przejęte konta komunikacyjne, potajemnie nagrywane materiały z kamer internetowych oraz deepfake’i generowane przez sztuczną inteligencję, aby ich podszywanie się było wiarygodne.

Kampania zazwyczaj zaczyna się od tego, że atakujący przejmują kontrolę nad komputerem danej osoby i potajemnie nagrywają obraz z jej kamery internetowej. Następnie przejmują konta komunikacyjne ofiary i używają ich, aby kontaktować się z jej kontaktami zawodowymi i prywatnymi.

Hakerzy wysyłają przekonujące zaproszenia na spotkania wideo, często podszywając się pod osoby znane swoim celom. Podczas takich rozmów budują zaufanie, pokazując nagrania z wcześniejszymi ofiarami lub deepfake’e wybitnych postaci świata kryptowalut i Web3. W praktyce ta technika podważa powszechne przekonanie, że znajoma twarz podczas transmisji wideo na żywo potwierdza tożsamość rozmówcy.

Atak staje się bardziej niebezpieczny, gdy hakerzy wprowadzają fałszywy problem techniczny, na przykład awarię dźwięku. Następnie nakłaniają cel do kliknięcia linku lub wykonania kroków rozwiązywania problemów, które potajemnie instalują złośliwe oprogramowanie na komputerze.

Po przejęciu urządzenia atakujący mogą uzyskać dostęp do wrażliwych informacji, ukraść kryptowaluty i potencjalnie przejąć kontrolę nad kolejnymi kontami komunikacyjnymi.

FBI poinformowało, że w trakcie śledztwa władze przejęły ponad 900 nagrań z kamer internetowych ofiar, co świadczy o skali operacji. W wielu zgłoszonych przypadkach hakerzy kradli kryptowaluty miesiące, a w niektórych przypadkach ponad rok po tym, jak po raz pierwszy przejęli kontrolę nad urządzeniem ofiary. To opóźnienie oznacza, że przejęte urządzenie może po cichu ujawniać konta i środki długo po początkowym zainfekowaniu.

Zastępca dyrektora FBI Patrick Grandy ostrzegł, że kampania wykorzystuje zaufanie ludzi do znanych platform internetowych i relacji zawodowych, określając ją jako „wysoce skuteczny schemat socjotechniczny”.

Programiści open-source w obliczu rosnącego zagrożenia

Kampania FaceStealer wykracza poza kradzież kryptowalut. Według FBI północnokoreańscy hakerzy coraz częściej celowali w programistów i opiekunów oprogramowania open-source, aby uzyskać dostęp do ich urządzeń i kont w repozytoriach oprogramowania.

Te działania budzą obawy dotyczące potencjalnych ataków na łańcuch dostaw oprogramowania. Atakujący, którzy przejmą kontrolę nad zaufanymi programistami, mogą wprowadzić złośliwy kod do powszechnie używanych projektów, potencjalnie narażając użytkowników końcowych na ryzyko bezpieczeństwa.

Ten rozwój wydarzeń poszerza zasięg zagrożenia poza indywidualnych posiadaczy kryptowalut, z potencjalnymi konsekwencjami dla firm, platform oprogramowania i szerszej infrastruktury cyfrowej.

Rozwijające się operacje kradzieży kryptowalut Korei Północnej

Najnowsza kampania wpisuje się w historię cyberataków Korei Północnej związanych z kryptowalutami. Według historycznej analizy opublikowanej przez TRM Labs kradzieże kryptowalut przypisywane Korei Północnej sięgnęły około 790 milionów dolarów w 2022 roku, w porównaniu z około 205 milionami dolarów w 2023 roku.

Chociaż roczne wartości skradzionych kryptowalut mogą znacznie się wahać, dane te pokazują skalę operacji kradzieży kryptowalut prowadzonych przez ten kraj. Ponad 400 milionów dolarów przypisanych FaceStealer w ciągu ostatnich 18 miesięcy dodatkowo podkreśla finansowe skutki tych ukierunkowanych ataków.

FBI niszczy infrastrukturę stojącą za krypto-włamaniem FaceStealer

DOJ potwierdziło, że skoordynowana operacja zakończyła się przejęciem infrastruktury chmurowej wspierającej kampanię. FBI opublikowało również raport techniczny szczegółowo opisujący działanie schematu i przedstawiający środki bezpieczeństwa dla potencjalnych ofiar, a także dedykowaną stronę z zasobami poświęconą FaceStealer.

Śledztwo podkreśla znaczenie silniejszych procedur weryfikacji podczas spotkań online, większej ostrożności przy otwieraniu nieznanych linków oraz lepszego zabezpieczenia kont komunikacyjnych i związanych z tworzeniem oprogramowania.

W miarę jak podszywanie się z użyciem deepfake’ów staje się coraz bardziej przekonujące, kampania FaceStealer pokazuje, że zagrożenia cyberbezpieczeństwa nie ograniczają się już do luk technicznych. Wykorzystywanie ludzkiego zaufania stało się kolejnym skutecznym sposobem uzyskania dostępu do cennych zasobów kryptowalut i infrastruktury cyfrowej.