L'FBI avverte di una truffa crypto da 400 milioni di dollari che prende di mira i tuoi amici sostituendo il tuo volto nei video

Avviso dell'FBI su FaceStealer

Gli hacker nordcoreani stanno utilizzando registrazioni di webcam rubate per impersonare lavoratori del settore delle criptovalute in incontri falsi con i loro contatti, avverte l'FBI. Il Dipartimento di Giustizia ha annunciato la disattivazione dell'infrastruttura basata su cloud utilizzata in FaceStealer il 12 novembre. Ha dichiarato che questo schema ha causato oltre 400 milioni di dollari di furti di criptovalute negli ultimi 18 mesi e che l'FBI ha sequestrato oltre 900 video di webcam di vittime sotto un mandato federale.

Dettagli sull'Operazione FaceStealer

Il comunicato del DOJ tratta FaceStealer separatamente dal furto di Binance, di cui CryptoSlate ha riferito attraverso l'attribuzione dell'FBI e i ritardi nel ripristino degli asset dell'exchange. Nella sua avviso FLASH del 12 novembre, l'FBI descrive gli attaccanti che prendono il controllo di account genuini su servizi come Telegram, LinkedIn, Slack e Discord. L'accesso alla cronologia delle chat consente loro di personalizzare un invito a conversazioni precedenti, dando a un nuovo approccio il contesto di una relazione esistente.

Meccanismo di Attacco

Un servizio di pianificazione legittimo può gestire la programmazione. Il link per la riunione malevola arriva poco prima della chiamata, indirizzando il bersaglio a una sessione Zoom o Microsoft Teams imitata controllata dagli attaccanti. Una volta che il bersaglio entra, il filmato di webcam memorizzato fa sembrare che il contatto conosciuto si sia unito. Gli attaccanti possono simulare diversi partecipanti. La persona familiare sullo schermo può quindi essere una registrazione di una vera vittima precedente, piuttosto che un partecipante dal vivo.

Utilizzo di Deepfake e Malware

L'FBI afferma che FaceStealer si basa ancora in gran parte su video genuini rubati. I deepfake generati forniscono un ulteriore modo per impersonare i partecipanti. La webcam del bersaglio diventa parte dell'attacco prima che inizi il presunto troubleshooting. Il FLASH afferma che la registrazione inizia quando il bersaglio clicca per la prima volta sul link della riunione dell'impostore. Gli attaccanti possono successivamente utilizzare quel filmato per impersonare il bersaglio.

Durante la riunione, un attaccante afferma che c'è un problema audio o tecnico. Il rimedio proposto può essere un prompt di aggiornamento, uno script o un codice da incollare in un terminale.

Seguire le istruzioni installa malware, che l'FBI afferma possa includere strumenti per raccogliere cookie del browser, registrare le battute, catturare schermate e mantenere l'accesso al dispositivo. È qui che lo schema unisce furto e impersonificazione. L'accesso al computer può esporre criptovalute o altri accessi preziosi.

Raccomandazioni dell'FBI

Gli account di comunicazione rubati, le liste di contatti e i filmati di webcam forniscono agli hacker materiale per il prossimo approccio. La pagina delle risorse di FaceStealer dell'FBI descrive lo stesso ciclo di compromissione, dirottamento dell'account e riunioni false. I danni non sono necessariamente immediati. L'FBI ha segnalato casi in cui il furto di criptovalute e il dirottamento degli account di comunicazione sono avvenuti mesi o più di un anno dopo la compromissione iniziale.

Un periodo di silenzio dopo una riunione sospetta non stabilisce quindi che un dispositivo o un account sia sicuro. L'FBI raccomanda di utilizzare l'applicazione ufficiale per le riunioni con un codice di invito e, dove possibile, di confermare un invito attraverso un canale di comunicazione diverso. Questo verifica l'approccio oltre l'account che l'attaccante potrebbe già controllare.

Consiglia anche di ritardare l'attivazione della webcam fino a quando l'invitante può essere visto, sentito e comunicato. Un apparente guasto tecnico non dovrebbe portare a eseguire script o incollare codice del terminale presentato come un aggiornamento del client video.

Azioni da Intraprendere in Caso di Compromissione

Per le persone che sospettano una compromissione, l'agenzia raccomanda di mettere al sicuro le criptovalute in un nuovo wallet creato su un dispositivo non compromesso, di proteggere gli account di comunicazione e sviluppo, di avvisare contatti e datori di lavoro e di segnalare a IC3 con la parola chiave FaceStealer. Avvisare i contatti può interrompere ulteriori approcci che potrebbero riutilizzare l'account e la registrazione rubati.