Минюст США пресекло северокорейскую схему кражи криптовалюты с помощью поддельных видеозвонков

Министерство юстиции США в четверг сообщило, что изъяло облачную инфраструктуру, использовавшуюся в кампании северокорейских злоумышленников по имперсонации в видеозвонках, в рамках которой за последние 18 месяцев было украдено криптовалюты более чем на 400 млн долларов.

Согласно заявлению ведомства от 12 ноября, кампания, обозначенная ФБР как FaceStealer, использует аккаунты, украденные у прежних жертв, для приглашения их контактов на встречи. Во время таких звонков злоумышленники демонстрируют тайно записанное видео с вебкамер знакомых цели людей или дипфейки известных криптофигур, чтобы встречи выглядели легитимными.

«Это эксплуатирует наше доверие к повсеместным платформам видеоконференций и дорогим нам личным связям», — заявил Патрик Гранди, помощник директора ФБР, руководящий полевым офисом в Лос-Анджелесе, в этом заявлении.

Как работает схема

Во время звонка злоумышленники утверждают, что возникла техническая проблема — например, не работает звук у цели, — и предоставляют ссылку или подсказку для её устранения. Это якобы решение, по данным Минюста, устанавливает вредоносное ПО на компьютер цели. На странице ресурсов FaceStealer ФБР описывается использование реалистичных поддельных версий платформ для видеоконференций.

Риски выходят за пределы криптоактивов отдельного человека. По данным Минюста, злоумышленники могут использовать доступ скомпрометированного пользователя к другой компьютерной инфраструктуре и всё чаще нацеливаются на разработчиков и мейнтейнеров open-source, чтобы получить доступ к аккаунтам в репозиториях ПО. Такая адресная работа, как сообщило ведомство, по-видимому, направлена на организацию атак на цепочки поставок ПО — потенциально затрагивая пользователей затронутого ПО, согласно ФБР. На практике такая оценка означает, что потенциальный охват кампании выходит за пределы непосредственно скомпрометированных лиц и может коснуться всех, кто полагается на затронутое ПО.

По федеральному ордеру ФБР изъяло более 900 видео с вебкамер жертв FaceStealer, сообщило Минюст. Злоумышленники также собирают списки контактов жертв и их аккаунты в мессенджерах, чтобы выйти на следующий круг целей. В ряде задокументированных случаев кража криптовалюты и захват аккаунтов происходили спустя месяцы или более года после первичной компрометации — этот разрыв показывает, как вторжение может оставаться нераскрытым месяцами, пока злоумышленники прорабатывают собранные контакты и аккаунты жертвы.

Приманка в виде видеозвонков развивает тенденцию, о которой ФБР предупреждало ещё в сентябре 2024 года, отметив запросы на запуск скриптов для включения звонков как возможный признак северокорейской социальной инженерии. Как сообщало тогда The Defiant, среди целей были сотрудники DeFi. В том раннем предупреждении рекомендовалось проверять контакты через отдельные, не связанные между собой платформы связи и ограничивать, какие файлы корпоративные устройства могут загружать и запускать. Обе рекомендации касаются двух заявленных точек входа схемы: подставных личностей на звонках и поддельного предложения «исправить проблему».

Отдельное дело касается украденных активов Binance

В том же заявлении Минюст сообщило, что получило судебное разрешение на арест или ограничение активов на сумму более 1,2 млрд долларов, связанных с отдельной кражей у Binance. Эта сумма является частью более 2,7 млрд долларов, замороженных в рамках государственных и частных усилий, а не дополнительным взысканием сверх неё.

ФБР attributировало эту кражу на сумму более 6 млрд долларов, произошедшую примерно 29 октября, северокорейской активности, которую оно называет TraderTraitor. Минюст явно разграничило TraderTraitor и FaceStealer. Это разграничение важно для отслеживания: FaceStealer описывает кампанию имперсонации в видеозвонках, тогда как TraderTraitor охватывает отдельную кражу и след её отмывания.

Усилия по отслеживанию, заморозке, аресту и конфискации активов Binance продолжаются, поскольку злоумышленники отмывают средства через мосты, миксеры и биржи, сообщило Минюст.

Источник: CryptoNewsNet