По данным американских правоохранительных органов, хакеры, связанные с КНДР, за последние 18 месяцев похитили криптовалюты более чем на $400 млн в рамках сложной операции социальной инженерии, основанной на поддельных видеозвонках и дипфейках, созданных искусственным интеллектом. ФБР, назвавшее кампанию «FaceStealer», отмечает, что эта схема демонстрирует, как киберпреступники объединяют искусственный интеллект с доверительными онлайн-связями для атак на владельцев криптовалют и специалистов Web3.

12 ноября Министерство юстиции США (DOJ) объявило о нарушении работы облачной инфраструктуры, связанной с кампанией. По данным следствия, злоумышленники все чаще нацеливались на разработчиков программного обеспечения с открытым исходным кодом — этот сдвиг вызывает опасения относительно безопасности широко используемых цифровых платформ.

Как работает крипто-взлом FaceStealer

По данным DOJ, северокорейские хакеры использовали скомпрометированные аккаунты связи, скрытно записанные видеоматериалы с веб-камер и дипфейки, созданные ИИ, чтобы сделать свою имитацию убедительной.

Кампания обычно начинается с компрометации компьютера жертвы и скрытной записи видео с веб-камеры. Затем злоумышленники захватывают аккаунты связи жертвы и используют их для контактов с ее профессиональными и личными знакомыми.

Хакеры отправляют убедительные приглашения на видеовстречи, часто выдавая себя за людей, которых знают их цели. Во время таких звонков они завоевывают доверие, демонстрируя заранее записанные кадры предыдущих жертв или созданные ИИ видео известных фигур криптоиндустрии и Web3. На практике этот метод подрывает распространенное убеждение, что знакомое лицо на живом видеозвонке подтверждает личность собеседника.

Атака становится еще опаснее, когда хакеры имитируют техническую неисправность, например проблему со звуком. После этого жертве предлагают перейти по ссылке или выполнить инструкции по устранению неполадок, которые скрытно устанавливают вредоносное ПО на компьютер.

После компрометации устройства злоумышленники получают доступ к конфиденциальной информации, могут похищать криптовалюту и потенциально захватывать дополнительные аккаунты связи.

ФБР сообщило, что в ходе расследования власти изъяли более 900 записей с веб-камер жертв — цифра, свидетельствующая о масштабах операции. В ряде задокументированных случаев хакеры похищали криптовалюту через несколько месяцев, а в отдельных случаях более чем через год после первичной компрометации устройства. Такая задержка означает, что скомпрометированное устройство может незаметно подвергать риску аккаунты и средства долгое время после первоначального заражения.

Помощник директора ФБР Патрик Гранди (Patrick Grandy) предупредил, что кампания эксплуатирует доверие людей к привычным онлайн-платформам и профессиональным связям, назвав ее «чрезвычайно эффективной схемой социальной инженерии».

Разработчики открытого ПО сталкиваются с растущей угрозой

Кампания FaceStealer выходит за рамки хищения криптовалют. По данным ФБР, северокорейские хакеры все чаще нацеливаются на разработчиков и мейнтейнеров открытого программного обеспечения, чтобы получить доступ к их устройствам и аккаунтам в репозиториях.

Эта активность вызвала опасения относительно возможных атак на цепочки поставок ПО. Злоумышленники, скомпрометировавшие доверенных разработчиков, могут внедрить вредоносный код в широко используемые программные проекты, потенциально подвергая риску безопасности конечных пользователей.

Это развитие расширяет угрозу за пределы отдельных владельцев криптовалют, с потенциальными последствиями для бизнеса, программных платформ и более широкой цифровой инфраструктуры.

Расширяющиеся операции КНДР по хищению криптовалют

Новейшая кампания дополняет историю кибератак КНДР, связанных с криптовалютами. Согласно историческому анализу, опубликованному TRM Labs, объем хищений криптовалюты, приписываемых КНДР, достиг примерно $790 млн в 2022 году по сравнению с около $205 млн в 2023 году.

Хотя объемы отдельных хищений могут значительно колебаться от года к году, эти цифры иллюстрируют масштаб операций страны по хищению криптовалют. Более $400 млн, приписываемых FaceStealer за последние 18 месяцев, дополнительно подчеркивают финансовые последствия этих целенаправленных атак.

ФБР разрушает инфраструктуру крипто-взлома FaceStealer

DOJ подтвердило, что скоординированная операция привела к изъятию облачной инфраструктуры, поддерживающей кампанию. ФБР также опубликовало технический отчет, подробно описывающий работу схемы и меры безопасности для потенциальных жертв, а также специальную страницу с ресурсами о FaceStealer.

Расследование подчеркивает важность более строгих процедур проверки во время онлайн-встреч, повышенной осторожности при открытии незнакомых ссылок и лучшей защиты аккаунтов связи и аккаунтов для разработки ПО.

Поскольку создаваемые ИИ имитации становятся все более убедительными, кампания FaceStealer демонстрирует, что угрозы кибербезопасности больше не ограничиваются техническими уязвимостями. Эксплуатация человеческого доверия стала еще одним эффективным способом получения доступа к ценным криптоактивам и цифровой инфраструктуре.