L'FBI avertit d'une arnaque crypto de 400 millions de dollars ciblant vos amis en remplaçant votre visage dans des vidéos

Usurpation d'identité par des hackers nord-coréens

Des hackers nord-coréens utilisent des enregistrements de webcam volés pour usurper l'identité de travailleurs de la cryptomonnaie lors de fausses réunions avec leurs contacts. Cela transforme le visage familier d'une victime en appât pour la prochaine attaque, avertit le FBI.

Intervention du ministère de la Justice

Le ministère de la Justice a annoncé la perturbation de l'infrastructure basée sur le cloud utilisée dans FaceStealer le 12 novembre. Ce schéma a causé plus de 400 millions de dollars de vol de cryptomonnaie au cours des 18 mois précédents. Le FBI a saisi plus de 900 vidéos de webcam de victimes sous un mandat fédéral.

Fonctionnement de FaceStealer

Dans son avis FLASH du 12 novembre, le FBI décrit des attaquants prenant le contrôle de comptes authentiques sur des services tels que Telegram, LinkedIn, Slack et Discord.

L'accès aux historiques de chat leur permet d'adapter une invitation à des conversations antérieures, donnant ainsi à une nouvelle approche le contexte d'une relation existante. Un service de calendrier légitime peut gérer la planification. Le lien de réunion malveillant arrive peu avant l'appel, dirigeant la cible vers une session Zoom ou Microsoft Teams contrefaite contrôlée par les attaquants.

Techniques d'attaque

Une fois que la cible entre, les séquences de webcam stockées donnent l'impression que le contact connu a rejoint. Les attaquants peuvent simuler plusieurs participants. La personne familière à l'écran peut donc être un enregistrement d'une véritable victime antérieure, plutôt qu'un participant en direct.

Le FBI affirme que FaceStealer repose encore largement sur des vidéos authentiques volées. Les deepfakes générés fournissent un moyen supplémentaire d'usurper l'identité des participants. La webcam de la cible devient partie intégrante de l'attaque avant que le prétendu dépannage ne commence.

Risques et recommandations

Le FLASH indique que l'enregistrement commence lorsque la cible clique pour la première fois sur le lien de réunion de l'imposteur. Les attaquants peuvent ensuite utiliser ces séquences pour usurper l'identité de la cible. Pendant la réunion, un attaquant prétend qu'il y a un problème audio ou technique. Le remède proposé peut être une invite de mise à jour, un script ou un code à coller dans un terminal, ce qui installe un logiciel malveillant.

Le FBI recommande d'utiliser l'application de réunion officielle avec un code d'invitation et, si possible, de confirmer une invitation par un autre canal de communication. Cela permet de vérifier l'approche au-delà du compte que l'attaquant peut déjà contrôler.

Conclusion

Pour les personnes qui soupçonnent une compromission, le bureau recommande de sécuriser les cryptomonnaies dans un nouveau portefeuille crypto créé sur un appareil non affecté, de sécuriser les comptes de communication et de développeur, d'alerter les contacts et les employeurs, et de signaler à l'IC3 avec le mot-clé FaceStealer.