Северокорейские хакеры использовали аккаунты, украденные у предыдущих жертв, чтобы приглашать новые цели на видеозвонки, где они воспроизводили тайно записанные клипы с веб-камер людей, знакомых этим целям, сообщает Министерство юстиции США.

Эта схема, отслеживаемая ФБР под названием FaceStealer, за 18 месяцев похитила криптовалюту на сумму более 400 млн долларов, сообщило в четверг ведомство. По данным властей, они уничтожили облачную инфраструктуру FaceStealer, а ФБР на основании федерального ордера изъяло более 900 видеозаписей с веб-камер жертв схемы — записей именно такого рода, которые использовались для выдачи себя за доверенных контактов в последующих звонках.

Фиктивный сбой аудио побуждал жертв установить вредоносное ПО

В своем пресс-релизе министерство юстиции сообщило, что группировки, стоящие за операцией, нацелены на людей, работающих в крипто- и web3-индустрии. Когда цель присоединяется к звонку, хакеры записывают видео с ее собственной веб-камеры, одновременно воспроизводя заранее записанные кадры известного контакта, создавая иллюзию присутствия на звонке доверенного коллеги.

Хакеры также создают дипфейк-видео влиятельных фигур в крипто- и web3-среде — то, что ведомство назвало «суперинтеллектом», — и используют их в тех же встречах.

В середине звонка возникает фиктивная техническая неполадка — например, заявление о том, что собеседника не слышно. Затем следует ссылка или предложение «исправить» проблему; его открытие незаметно устанавливает вредоносное ПО на компьютер жертвы.

После взлома компьютера хакеры могут похитить криптовалюту или воспользоваться доступом цели к другим системам. В некоторых случаях кражи и захват аккаунтов происходили через месяцы и даже более года после первоначального взлома.

Хакеры также изучают списки контактов каждой новой жертвы, ее социальные сети и мессенджеры. Найденные там личные и профессиональные контакты становятся следующими целями.

«Здесь эксплуатируется наше доверие к повсеместно распространенным платформам видеоконференций и дорогим нам личным отношениям. Если вы не можете представить сценарий, в котором могли бы стать жертвой, значит, вы недостаточно креативно мыслите», — сказал Патрик Гранди, помощник руководителя регионального офиса ФБР в Лос-Анджелесе.

Целью становятся разработчики open-source, а минюст блокирует 1,2 млрд долларов

Разработчики программного обеспечения с открытым исходным кодом все чаще попадают в поле зрения. Хакеры атакуют их устройства и подконтрольные им аккаунты в репозиториях кода, что, по данным министерства юстиции, выглядит как подготовка к атакам на цепочки поставок — метода, при котором системы или код одного скомпрометированного разработчика используются для доступа к проектам и пользователям, зависящим от него.

Ведомство связало кампанию FaceStealer с северокорейскими группировками, которые оно называет Sapphire Sleet, UNC1069, Dangerous Password, CryptoCore, APT38, BlueNoroff и Stardust Chollima.

В феврале Cryptopolitan сообщал, что UNC1069 взломал аккаунт Telegram руководителя криптовалютной компании, чтобы заманить цель на поддельный звонок в Zoom. Затем злоумышленники сымитировали проблемы со звуком и заставили жертву выполнить команды «устранения неполадок» — это повторяет предлог с аудиосбоем, описанный в релизе министерства юстиции о FaceStealer.

ФБР опубликовало отчет о том, как устроена схема, включая меры защиты и советы для жертв, а также создало специальный сайт о FaceStealer в качестве информационного ресурса.

Министерство юстиции сопроводило изъятие активов FaceStealer вторым действием: оно добилось судебного разрешения на арест или блокировку более 1,2 млрд долларов, похищенных у Binance, — это часть более 2,7 млрд долларов, замороженных на данный момент.

Ведомство возложило ответственность за вывод более 6 млрд долларов с биржи около 29 октября на северокорейских военных хакеров, которых оно называет TraderTraitor. Северная Корея отрицает какую-либо причастность к кражам.

«Правительство Северной Кореи финансирует свой преступный режим и незаконную программу вооружений за счет хищений криптовалюты», — заявил М. Скотт Проктор, заместитель помощника генерального прокурора по национальной безопасности.

TraderTraitor по-прежнему отмывает средства Binance через криптомосты, миксеры и биржи. Работа по их отслеживанию, заморозке, аресту и конфискации продолжается.