Hackeri nord-coreeni au furat 400 de milioane de dolari cu apeluri Zoom false

Chipul de pe ecran, în timpul apelului video, era al unui prieten, al unui coleg sau al unui investitor pe care victima îl cunoștea deja. Dar era o înregistrare. Potrivit FBI, hackerii nord-coreeni atrag oamenii în ședințe imitate pe Zoom și Teams, redau imagini surprinse în secret de pe webcamurile unor victime anterioare și apoi îi conving pe noii țintiți să instaleze malware, prezentat drept o soluție tehnică rapidă.

Biroul federal numește schema FaceStealer, iar aceasta transformă un moment cât se poate de obișnuit al muncii la distanță în chiar atacul propriu-zis. Invitația vine de la contul real al unei persoane de încredere, ședința arată ca aplicația folosită zi de zi, iar persoana care așteaptă pare să fie exact cea la care te așteptai. FBI spune că schema îi poate păcăli chiar și pe utilizatorii cu experiență, preocupați de securitate.

Amploarea este considerabilă. Într-o alertă adresată industriei criptomonedelor și celor care întrețin software cu sursă deschisă, FBI afirmă că schema a furat criptomonede în valoare de peste 400 de milioane de dolari în ultimele 18 luni. Anchetatorii au confiscat infrastructura cloud din spatele operațiunii, precum și peste 900 de înregistrări video de pe webcamuri, cu victime din lumea crypto și Web3 din întreaga lume. Hackerii le păstrau într-o arhivă, pentru a se da drept acele persoane în atacuri ulterioare.

Fiecare atac începe cu cineva al cărui cont a fost deja compromis. Atacatorii preiau controlul asupra contului persoanei respective de Telegram sau dintr-o altă aplicație de mesagerie, citesc istoricul conversațiilor și le scriu persoanelor din lista de contacte, trimițând invitații personalizate pentru a mai sta de vorbă, a discuta o colaborare sau a vorbi despre o investiție. Apoi vine o invitație pe Calendly, adesea fără link către ședință. Linkul apare abia cu puțin timp înainte de apel și duce la o adresă care imită un site legitim, de unde se deschide o copie a aplicației Zoom sau Teams controlată de hackeri. Înăuntru, victima vede contactul cunoscut, adesea alături de alți participanți, toți fiind înregistrări.

Apoi urmează capcana. Un mesaj trimis de falsul contact spune că nu se aude vocea victimei și îi indică o actualizare, un script de rulat sau o linie de cod de lipit în terminal. „Soluția” instalează un program care colectează cookie-urile din browser, un keylogger, un instrument de captură a ecranului și o ușă din spate pentru acces neautorizat. Hackerii înregistrează webcamul victimei încă din clipa în care aceasta a accesat linkul, așa că noua victimă devine chipul folosit pentru a atrage următoarea persoană. „Dacă nu-ți poți imagina un scenariu în care ai putea cădea victimă, înseamnă că nu gândești suficient de creativ”, a declarat Patrick Grandy, care conduce biroul FBI din Los Angeles.

Riscul depășește cu mult portofelele crypto. FBI spune că aceeași tehnică a fost folosită și împotriva celor care întrețin cod cu sursă deschisă, utilizat pe scară largă. Într-un caz, administratorul unei biblioteci JavaScript majore, descărcată de zeci de milioane de ori pe săptămână, a intrat într-un apel fals pe Teams cu o persoană pe care o cunoștea, a urmat instrucțiunile pentru remediere și și-a infectat calculatorul. Hackerii i-au folosit apoi accesul pentru a introduce dependențe malițioase în descărcările bibliotecii, înainte ca compromiterea să fie descoperită. Biroul federal spune că alte tentative au vizat administratori de pachete de pe npm, principalul registru de pachete JavaScript, iar mai recent, dezvoltatori Rust. Un singur administrator păcălit poate pune malware la dispoziția a milioane de oameni care nu au participat la niciun apel.

Inteligența artificială are și ea un rol, deși mai mic decât ar putea sugera titlurile despre deepfake-uri. FBI spune că gruparea a început să genereze videoclipuri deepfake cu personalități cunoscute din lumea crypto, care trebuie doar să treacă drept imagini granulare de webcam. Totuși, schema se bazează în continuare, în mare măsură, pe videoclipuri reale furate de la victime reale, ceea ce înseamnă că un detector de deepfake-uri nu ar identifica majoritatea acestor apeluri.

Operațiunea de destructurare lasă însă multe întrebări fără răspuns. Serverele pot fi înlocuite, iar persoanele din spatele schemei, pe care FBI o atribuie grupării de hackeri BlueNoroff, APT38 sau Sapphire Sleet, asociată statului nord-coreean, operează din Coreea de Nord, departe de raza de acțiune a instanțelor americane. FBI nu a precizat câte dintre persoanele care apar în cele 900 de videoclipuri au pierdut bani. În mai multe cazuri, hackerii au așteptat luni întregi, uneori chiar mai mult de un an, înainte să golească un portofel, lăsând soldul să crească între timp; prin urmare, unele victime s-ar putea să nu știe încă faptul că le-a fost compromis calculatorul.

Recomandările FBI sunt concrete. Intră în ședințe din aplicația oficială Zoom sau Teams, folosind un cod de invitație în locul unui link web, mai ales dacă invitația vine de la un contact nou sau cu care vorbești rar. Ține camera oprită până când poți să vezi, să auzi și să vorbești cu persoana care te-a invitat. Nu rula niciodată un script și nu lipi cod în terminal pentru a remedia o problemă cu apelul. Fii precaut dacă primești o invitație în calendar fără link către ședință, iar linkul apare cu doar câteva minute înainte de începere, și confirmă întâlnirea pe un alt canal. Activează autentificarea multifactor, alertele de conectare și mesajele cu dispariție automată pe Telegram, WhatsApp și Slack.

FBI a publicat alerta FaceStealer pe 12 noiembrie, în aceeași zi în care Departamentul de Justiție a anunțat confiscarea. Departamentul a mai declarat că a primit aprobarea instanței pentru a confisca sau bloca peste 1,2 miliarde de dolari în criptomonede furate de hackeri nord-coreeni de pe platforma Binance la sfârșitul lunii octombrie. Din totalul de peste 2,7 miliarde de dolari înghețate până acum, eforturile de recuperare a restului continuă. FBI a creat o pagină FaceStealer dedicată, cu recomandări pentru oricine crede că a fost vizat.

Etichete: știri, securitate cibernetică, deepfake, Coreea de Nord, FBI, Zoom