El FBI advierte sobre una estafa de criptomonedas de $400 millones que utiliza videos robados para suplantar a tus amigos

Advertencia del FBI sobre FaceStealer

Los hackers norcoreanos están utilizando grabaciones de webcams robadas para hacerse pasar por trabajadores de criptomonedas en reuniones falsas con sus contactos, convirtiendo el rostro familiar de una víctima en un cebo para el siguiente ataque, advierte el FBI.

El Departamento de Justicia anunció la interrupción de la infraestructura basada en la nube utilizada en FaceStealer el 12 de noviembre.

Según el comunicado, este esquema ha causado más de 400 millones de dólares en robos de criptomonedas durante los 18 meses anteriores, y el FBI ha confiscado más de 900 videos de webcams de víctimas bajo una orden federal.

Detalles del Esquema

El comunicado del DOJ trata a FaceStealer por separado del robo de Binance, que CryptoSlate ha cubierto a través de la atribución del FBI y los retrasos en la reposición de activos del intercambio. En su aviso FLASH del 12 de noviembre, el FBI describe cómo los atacantes toman el control de cuentas genuinas en servicios como Telegram, LinkedIn, Slack y Discord.

El acceso a los historiales de chat les permite personalizar invitaciones a conversaciones anteriores, dando un nuevo contexto a una relación existente. Un servicio de programación legítimo puede manejar la organización de la reunión. El enlace de la reunión maliciosa llega poco antes de la llamada, dirigiendo al objetivo a una sesión de Zoom o Microsoft Teams imitadora controlada por los atacantes.

Una vez que el objetivo entra, el metraje de webcam almacenado hace que parezca que el contacto conocido se ha unido. Los atacantes pueden simular varios participantes. La persona familiar en pantalla puede, por lo tanto, ser una grabación real de una víctima anterior, en lugar de un participante en vivo.

El Ciclo de Compromiso

El FBI señala que FaceStealer aún depende en gran medida de videos genuinos robados. Los deepfakes generados proporcionan una forma adicional de hacerse pasar por los participantes. La webcam del objetivo se convierte en parte del ataque antes de que comience la supuesta solución de problemas.

El aviso FLASH indica que la grabación comienza cuando el objetivo hace clic por primera vez en el enlace de la reunión del impostor.

Los atacantes pueden usar más tarde ese metraje para hacerse pasar por el objetivo. Durante la reunión, un atacante afirma que hay un problema técnico de audio u otro. La solución propuesta puede ser un aviso de actualización, un script o un código para pegar en un terminal. Seguir estas instrucciones instala malware, que el FBI dice que puede incluir herramientas para recolectar cookies del navegador, registrar pulsaciones de teclas, capturar pantallas y mantener el acceso al dispositivo.

Ahí es donde el esquema une el robo a la suplantación. El acceso a la computadora puede exponer criptomonedas u otro acceso valioso. Las cuentas de comunicación robadas, las listas de contactos y el metraje de webcam proporcionan a los hackers material para el próximo ataque.

Recomendaciones del FBI

La página de recursos de FaceStealer del FBI describe el mismo ciclo de compromiso, secuestro de cuentas y reuniones falsas. El daño no es necesariamente inmediato. El FBI ha informado de casos en los que el robo de criptomonedas y la toma de cuentas de comunicación ocurrieron meses o incluso más de un año después del compromiso inicial.

Por lo tanto, un período de calma después de una reunión sospechosa no garantiza que un dispositivo o cuenta esté seguro. El FBI recomienda usar la aplicación de reunión oficial con un código de invitación y, cuando sea posible, confirmar una invitación a través de un canal de comunicación diferente. Esto verifica el enfoque más allá de la cuenta que el atacante ya puede controlar.

También aconseja retrasar la activación de la webcam hasta que el invitador pueda ser visto, oído y comunicado. Un aparente fallo técnico no debe llevar a ejecutar scripts o pegar código de terminal presentado como una actualización del cliente de video.

Para las personas que sospechan de un compromiso, la oficina recomienda:

• Asegurar criptomonedas en una nueva billetera de criptomonedas creada en un dispositivo no afectado.
• Asegurar cuentas de comunicación y desarrollador.
• Alertar a contactos y empleadores.
• Reportar a IC3 con la palabra clave FaceStealer.

Alertar a los contactos puede interrumpir enfoques adicionales que podrían reutilizar la cuenta y grabaciones robadas.