Хакеры из КНДР похитили более $400 млн с помощью поддельных видеозвонков
Связанные с Северной Кореей хакеры за последние 18 месяцев похитили крипты на сумму свыше $400 млн с помощью схемы социальной инженерии FaceStealer. Злоумышленники приглашали жертв на видеовстречи и с помощью заранее записанных роликов и дипфейков выдавали себя за их знакомых. Об этом 12 ноября сообщило Министерство юстиции США, объявив об изъятии облачной инфраструктуры кампании.
Основными целями атак были участники криптовалютной индустрии и Web3. Однако, по данным американских властей, атакующие все чаще пытаются скомпрометировать устройства и аккаунты разработчиков открытого программного обеспечения. Предположительно, доступ к ним и репозиториям нужен для последующих атак на цепочку поставок ПО.
Приглашения на видеоконференции поступали из аккаунтов, похищенных у предыдущих жертв. Во время звонка хакеры воспроизводили записи с веб-камер знакомых новой цели. Так создавалось впечатление, что во встрече действительно участвуют коллеги или деловые контакты. Дополнительно злоумышленники использовали созданные с помощью ИИ видео с известными представителями криптоиндустрии.
После установления контакта атакующие имитировали техническую неполадку: например, утверждали, что не слышат собеседника. Затем ему предлагали перейти по ссылке, чтобы устранить проблему. Однако вместо этого на компьютер устанавливалось вредоносное ПО. Получив доступ, атакующие могли похитить криптовалюту или проникнуть в другие системы, доступные пользователю.
Кража могла произойти значительно позже первоначального заражения. В некоторых случаях злоумышленники выжидали несколько месяцев или больше года. Из-за такой задержки было сложно связать видеозвонок с последующей компрометацией.
Во время встреч участники FaceStealer записывали видео с веб-камер новых жертв. После заражения они также получали доступ к контактам, социальным сетям и приложениям для общения. Это позволяло расширять круг целей за счет личных и профессиональных связей уже скомпрометированных пользователей.
В рамках расследования ФБР изъяло более 900 видеозаписей жертв. Американские власти связывают кампанию с северокорейскими хакерами, известными как Sapphire Sleet, BlueNoroff, APT38 и под другими названиями.
В ФБР подчеркивают, что схема эксплуатирует доверие к привычным платформам видеосвязи и знакомым людям. Поэтому даже технически подготовленный пользователь может принять подставную встречу за настоящую. Расширение атак на разработчиков открытого ПО создает риски, выходящие за пределы отдельных криптокошельков, потому что целью становятся учетные записи, позволяющие управлять популярными репозиториями.
Одновременно Минюст сообщил о продвижении в расследовании взлома Binance 29 октября. Власти получили судебное разрешение на изъятие активов стоимостью более $1,2 млрд или ограничение права распоряжаться ими. Эта сумма входит в общий объем уже замороженных средств, превышающий $2,7 млрд.
ФБР приписывает атаку группировке TraderTraitor. По сведениям издания, участники преступной группы создавали новый кошелек примерно каждые 25 секунд. Северная Корея отрицает свою причастность, называя выводы ФБР политической провокацией. Работа по отслеживанию и возврату активов продолжается.
