Północnokoreańscy hakerzy wykorzystywali konta skradzione wcześniejszym ofiarom, by zapraszać nowe cele na wideorozmowy, podczas których odtwarzali potajemnie nagrane klipy z kamer internetowych osób znanych tym celom — według Departamentu Sprawiedliwości USA.

Operacja, śledzona przez FBI pod nazwą FaceStealer, ukradła w okresie 18 miesięcy kryptowaluty o wartości ponad 400 milionów dolarów — poinformował o tym w czwartek departament. Władze oświadczyły, że zlikwidowały infrastrukturę chmurową FaceStealer, a FBI na podstawie federalnego nakazu przejęło ponad 900 nagrań z kamer internetowych ofiar operacji — to właśnie takie nagrania służyły do podszywania się pod zaufane kontakty podczas kolejnych rozmów.

Sfałszowana usterka dźwięku skłaniała cele do zainstalowania złośliwego oprogramowania

Jak podał Departament Sprawiedliwości w komunikacie, grupy stojące za operacją celują w osoby pracujące w branży krypto i web3. Gdy dany cel dołącza do rozmowy, hakerzy nagrywają obraz z jego własnej kamery, a jednocześnie odtwarzają wcześniej nagrany materiał ze znanym kontaktem, tworząc wrażenie obecności zaufanego współpracownika na spotkaniu.

Hakerzy tworzą także deepfake wierne osoby wpływowe w krypto i web3 — to, co departament nazwał „super intelligence” — i prezentują je podczas tych samych spotkań.

W trakcie rozmowy pojawia się sfingowana usterka techniczna — na przykład informacja, że głos celu nie jest słyszalny. Następnie pojawia się link lub komunikat oferujący „naprawienie” problemu; jego otwarcie po cichu instaluje złośliwe oprogramowanie na komputerze ofiary.

Po przejęciu komputera hakerzy mogą kraść kryptowaluty lub wykorzystać uprawnienia celu do innych systemów. W niektórych przypadkach kradzieże i przejęcia kont nastąpiły od kilku miesięcy do ponad roku po początkowym włamaniu.

Hakerzy przeszukują także listy kontaktów każdej nowej ofiary, media społecznościowe i komunikatory. Znalezione tam kontakty prywatne i zawodowe stają się kolejnymi celami.

„To atak wykorzystuje nasze zaufanie do wszechobecnych platform wideokonferencji oraz cenne relacje osobiste. Jeśli nie potrafisz wyobrazić sobie scenariusza, w którym mógłbyś paść jego ofiarą, to nie dość kreatywnie myślisz” — powiedział Patrick Grandy, zastępca dyrektora biura FBI w Los Angeles odpowiedzialny za nadzór nad tym zarządem.

Open source w ogniu, a Departament Sprawiedliwości blokuje 1,2 miliarda dolarów

Coraz częściej celem ataków padają deweloperzy oprogramowania open source. Hakerzy atakują ich urządzenia oraz kontrolowane przez nich konta repozytoriów kodu, co — jak stwierdził Departament Sprawiedliwości — wygląda na przygotowanie pod ataki na łańcuch dostaw, czyli technikę wykorzystującą systemy lub kod jednego skompromitowanego dewelopera, by dotrzeć do zależnych od niego projektów i użytkowników.

Departament powiązał kampanię FaceStealer z północnokoreańskimi grupami, które nazwał Sapphire Sleet, UNC1069, Dangerous Password, CryptoCore, APT38, BlueNoroff i Stardust Chollima.

W lutym Cryptopolitan informował, że UNC1069 przejął konto Telegram menedżera z branży krypto, by zwabić cel do sfingowanej rozmowy na Zoomie. Atakujący udawali następnie problemy z dźwiękiem i nakazali ofierze wykonać polecenia diagnostyczne — co odpowiada pretekstowi usterki dźwięku opisanemu w komunikacie Departamentu Sprawiedliwości o FaceStealer.

FBI opublikowało raport o sposobie działania operacji, zawierający kroki ochronne i porady dla ofiar, oraz uruchomiło dedykowaną stronę internetową o FaceStealer jako centrum zasobów.

Departament Sprawiedliwości połączył przejęcie infrastruktury FaceStealer z drugim działaniem: uzyskał zgodę sądu na zajęcie lub zablokowanie ponad 1,2 miliarda dolarów skradzionych z Binance — to część ponad 2,7 miliarda dolarów zamrożonych jak dotąd.

Departament obarczył odpowiedzialnością północnokoreańskich hakerów wojskowych, których nazywa TraderTraitor, za wypłacenie z giełdy ponad 6 miliardów dolarów około 29 października. Korea Północna zaprzeczyła jakimkolwiek związkom z tymi kradzieżami.

„Rząd Korei Północnej finansuje swój buntowniczy reżim i nielegalny program zbrojeniowy poprzez kradzieże kryptowalut” — powiedział M. Scott Proctor, główny zastępca prokuratora generalnego ds. bezpieczeństwa narodowego.

TraderTraitor wciąż pierze środki z Binance poprzez mostki kryptowalutowe, mixery i giełdy. Działania mające na celu ich wyśledzenie, zamrożenie, przejęcie i konfiskatę trwają.