FBI warnt vor aktivem Krypto-Betrug im Wert von 400 Millionen Dollar, der Ihre Freunde ins Visier nimmt, indem er Ihr Gesicht in Videos ersetzt

Nordkoreanische Hacker und die FaceStealer-Masche

Nordkoreanische Hacker nutzen gestohlene Webcam-Aufnahmen, um Krypto-Arbeiter in gefälschten Meetings mit deren Kontakten zu imitieren. Das FBI warnt, dass das vertraute Gesicht eines Opfers als Köder für den nächsten Angriff verwendet wird.

Die Störung der Infrastruktur

Am 12. November gab das Justizministerium die Störung der cloudbasierten Infrastruktur bekannt, die in der sogenannten FaceStealer-Masche verwendet wird. Berichten zufolge hat dieses Schema in den letzten 18 Monaten mehr als 400 Millionen Dollar an Kryptowährungsdiebstahl verursacht.

Die Methoden der Angreifer

Das FBI hat über 900 Opfer-Webcam-Videos unter einem bundesstaatlichen Durchsuchungsbefehl beschlagnahmt. Die Pressemitteilung des DOJ behandelt FaceStealer getrennt von dem Diebstahl bei Binance, über den CryptoSlate berichtet hat.

In seiner FLASH-Warnung vom 12. November beschreibt das FBI, wie Angreifer echte Konten auf Diensten wie Telegram, LinkedIn, Slack und Discord übernehmen.

Der Zugriff auf Chatverläufe ermöglicht es ihnen, Einladungen zu früheren Gesprächen anzupassen und dem neuen Ansatz den Kontext einer bestehenden Beziehung zu geben. Ein legitimer Kalenderdienst kann die Terminplanung übernehmen. Der bösartige Meeting-Link wird kurz vor dem Anruf versendet und leitet das Ziel zu einer nachgeahmten Zoom- oder Microsoft Teams-Sitzung, die von den Angreifern kontrolliert wird.

Die Gefahren der gefälschten Meetings

Sobald das Ziel eintritt, lässt gespeichertes Webcam-Material es so erscheinen, als ob der bekannte Kontakt beigetreten ist. Angreifer können mehrere Teilnehmer simulieren, sodass die vertraute Person auf dem Bildschirm eine echte Aufnahme eines früheren Opfers sein kann, anstatt eines Live-Teilnehmers.

Das FBI erklärt, dass FaceStealer weiterhin überwiegend auf gestohlenen echten Videos basiert. Generierte Deepfakes bieten eine zusätzliche Möglichkeit, Teilnehmer zu imitieren. Die Webcam des Ziels wird Teil des Angriffs, bevor die angebliche Fehlersuche beginnt.

Die FLASH-Warnung besagt, dass die Aufnahme beginnt, sobald das Ziel zum ersten Mal auf den betrügerischen Meeting-Link klickt.

Die Angreifer können dieses Material später verwenden, um das Ziel zu imitieren. Während des Meetings behauptet ein Angreifer, dass es ein Audio- oder anderes technisches Problem gibt. Die vorgeschlagene Lösung kann ein Update-Prompt, ein Skript oder ein Code sein, der in ein Terminal eingefügt werden soll.

Die Folgen der Kompromittierung

Das Befolgen dieser Anweisungen installiert Malware, die laut FBI Werkzeuge zum Ernten von Browser-Cookies, Protokollieren von Tastatureingaben, Erfassen von Bildschirmen und Aufrechterhalten des Zugriffs auf das Gerät umfassen kann. Hier verbindet sich das Schema von Diebstahl und Identitätsdiebstahl.

Der Zugriff auf den Computer kann Kryptowährung oder andere wertvolle Zugänge offenbaren. Gestohlene Kommunikationskonten, Kontaktlisten und Webcam-Videos geben den Hackern Material für den nächsten Angriff.

Empfehlungen des FBI

Die FaceStealer-Ressourcenseite des FBI beschreibt denselben Zyklus von Kompromittierung, Kontenübernahme und gefälschten Meetings. Der Schaden ist nicht unbedingt sofort sichtbar. Das FBI berichtete von Fällen, in denen der Diebstahl von Kryptowährung und die Übernahme von Kommunikationskonten Monate bis über ein Jahr nach der ursprünglichen Kompromittierung stattfanden.

Eine ruhige Phase nach einem verdächtigen Meeting bedeutet daher nicht, dass ein Gerät oder Konto sicher ist. Das FBI empfiehlt, die offizielle Meeting-Anwendung mit einem Einladungscode zu verwenden und, wo möglich, eine Einladung über einen anderen Kommunikationskanal zu bestätigen.

Es wird auch geraten, die Webcam-Aktivierung zu verzögern, bis der Einladende gesehen, gehört und kommuniziert werden kann. Ein scheinbarer technischer Fehler sollte nicht dazu führen, dass Skripte ausgeführt oder Terminalcodes eingefügt werden, die als Update für den Video-Client präsentiert werden.

Handlungsempfehlungen bei Verdacht

Für Personen, die eine Kompromittierung vermuten, empfiehlt das Büro, Kryptowährung in einer neuen Krypto-Wallet zu sichern, die auf einem nicht betroffenen Gerät erstellt wurde, Kommunikations- und Entwicklerkonten zu sichern, Kontakte und Arbeitgeber zu informieren und sich mit dem Stichwort FaceStealer an IC3 zu wenden.

Das Informieren von Kontakten kann weitere Angriffe unterbrechen, die das gestohlene Konto und die Aufnahmen wiederverwenden könnten.