Предупреждение, опубликованное 12 ноября через Центр по жалобам на интернет-преступления ФБР (IC3) — канал бюро для сбора жалоб на интернет-преступления и публикации публичных оповещений, — описывает задержки в несколько месяцев или более года между первоначальным проникновением и кражей криптовалюты в нескольких задокументированных случаях, связанных с FaceStealer, операцией, приписываемой КНДР, которая использует захваченные коммуникационные аккаунты и поддельные видеовстречи, чтобы обманом заставить жертв установить вредоносное ПО. Предупреждение адресовано тем, кто, возможно, давно выполнял вредоносные инструкции по «устранению неполадок»: отсутствие несанкционированных переводов, предупреждает бюро, не означает, что учётные данные их кошелька остались в тайне.

Почему кошелёк может выглядеть нормально после кражи фразы

Сид-фраза позволяет совместимому кошельку восстановить приватные ключи, используемые для подписания транзакций. В стандартном кошельке с сид-фразой любой, у кого есть фраза, может восстановить доступ на другом устройстве, не лишая владельца доступа — то есть обе стороны получают возможность распоряжаться средствами.

Копирование фразы не перемещает криптовалюту. Обозреватель блокчейна может показать депозиты и переводы, но он не может показать, что другой человек получил информацию, необходимую для будущей кражи средств. Владелец может продолжать пользоваться кошельком как обычно, пока злоумышленник ждёт появления более крупного баланса.

Именно это, согласно предупреждению от 12 ноября, делали злоумышленники. В нём нет среднего срока ожидания и оценки того, как часто взлом приводит к отложенной краже. Вывод уже: в нескольких задокументированных случаях кража и захват коммуникационных аккаунтов произошли через несколько месяцев или более года после проникновения.

Масштаб компрометации зависит от того, к чему злоумышленники получили доступ. Сид-фраза, сохранённая на заражённом компьютере, несёт иной риск, чем фраза, которая никогда не была доступна этому устройству, и само по себе заражение компьютера не означает, что все кошельки владельца потеряли свои ключи.

Как знакомый контакт доставляет поддельное «исправление»

Операции FaceStealer начинаются с доступа к коммуникационному аккаунту прежней жертвы. Злоумышленники используют этот подлинный аккаунт, чтобы обратиться к контактам жертвы по поводу встречи, сотрудничества или инвестиционной возможности, а затем отправляют ссылку на имитацию сервиса видеовстреч.

Внутри поддельной встречи они воспроизводят украденные записи с веб-камер, чтобы узнаваемые люди казались участниками. Затем они заявляют, что у цели проблемы со звуком или требуется обновление. Предлагаемое решение просит цель скачать файл, запустить скрипт или ввести команду, устанавливающую вредоносное ПО.

Кампания по-прежнему опирается преимущественно на подлинные украденные записи, хотя в предупреждении описывается и синтетическое видео. Обману не требуется выдуманное лицо: подлинная запись используется в разговоре, который записанный человек не контролирует.

Власти изъяли более 900 записей с веб-камер жертв в ходе разрушения инфраструктуры FaceStealer. ФБР приписывает этой схеме более 400 миллионов долларов украденной криптовалюты за 18 месяцев.

Очистка компьютера не восстанавливает контроль над кошельком

Удаление вредоносного ПО может остановить его работу на устройстве, но не может вернуть сид-фразу, уже скопированную elsewhere. Переустановка приложения кошелька, смена локального пароля или восстановление той же фразы на другом компьютере не меняют учётные данные кошелька.

Для скомпрометированного кошелька с сид-фразой замена означает создание нового кошелька с новой фразой и перевод активов. У стандартного кошелька с сид-фразой нет эмитента, который мог бы аннулировать фразу после её копирования, поэтому единственный путь — замена, а не ремонт. Руководство Phantom по миграции поясняет, что существующим кошелькам с сид-фразой нельзя просто назначить новую фразу, и рекомендует проверить токены, коллекционные предметы, застейкованные активы и позиции DeFi, некоторые из которых требуют дополнительных шагов перед переводом.

Поэтому миграция должна учитывать больше, чем баланс на стартовом экране кошелька. Владелец должен определить активы и позиции, всё ещё контролируемые скомпрометированными учётными данными, и прекратить направлять будущие платежи на старые адреса.

Украденные аккаунты подвергают риску следующий контакт

Доступ к кошельку — лишь одно из применений скомпрометированного устройства. Злоумышленники FaceStealer также получают списки контактов и историю чатов, что позволяет им адаптировать подход под предыдущий разговор. Сообщение об инвестиции или встрече может прийти с ожидаемого аккаунта и ссылаться на реальные отношения.

Восстановление аккаунта может прервать этот путь к новым жертвам, но контакты могли уже получить приглашения или увидеть записанное лицо владельца. Им нужно предупреждение через другой надёжный канал. Работодатели также должны знать, если рабочее устройство или рабочая информация могли быть скомпрометированы, даже если криптовалюта не исчезла.

Для будущих приглашений на встречи рекомендуется открывать официальное приложение самостоятельно и присоединяться с кодом встречи, подтверждать необычные запросы через другой надёжный канал связи и получать обновления отдельно, а не запускать скрипты или команды, присланные в чате.

Каждому, кто месяцы назад выполнил подозрительное «исправление», следует заново оценить учётные данные и аккаунты, доступные в то время. Поскольку в описанных в предупреждении случаях кража произошла через несколько месяцев или более года после проникновения, эта проверка должна охватить весь период возможной компрометации устройства. Такой анализ определит, нужно ли переводить средства, завершать сессии аккаунтов и предупреждать контакты.