FBI предупреждает об активном крипто-мошенничестве на сумму $400 миллионов, в котором используются поддельные видео с вашими знакомыми

Северокорейские хакеры и схема FaceStealer

Северокорейские хакеры используют украденные записи с веб-камер, чтобы выдавать себя за сотрудников криптовалютных компаний на поддельных встречах с их контактами. Они превращают знакомое лицо одной жертвы в приманку для следующей атаки, предупреждает FBI.

Разрушение облачной инфраструктуры

Министерство юстиции объявило о разрушении облачной инфраструктуры, использовавшейся в схеме FaceStealer, 12 ноября. Ведомство сообщило, что данная схема привела к краже более $400 миллионов в криптовалюте за последние 18 месяцев, и что FBI изъяла более 900 видео с веб-камер жертв по федеральному ордеру.

В релизе DOJ FaceStealer рассматривается отдельно от кражи на Binance, о которой сообщал CryptoSlate через атрибуцию FBI и задержки восстановления активов биржи.

Методы атаки

В своем FLASH-совете от 12 ноября FBI описывает, как злоумышленники захватывают настоящие аккаунты на таких сервисах, как Telegram, LinkedIn, Slack и Discord. Доступ к историям чатов позволяет им адаптировать приглашения к ранее проведенным беседам, придавая новому подходу контекст существующих отношений.

Легитимный сервис планирования может заняться организацией встреч. Зловредная ссылка на встречу приходит незадолго до звонка, направляя жертву на поддельную сессию Zoom или Microsoft Teams, контролируемую злоумышленниками. Как только жертва входит, сохраненные записи с веб-камеры создают иллюзию, что знакомый контакт присоединился.

Злоумышленники могут симулировать нескольких участников. Таким образом, знакомое лицо на экране может быть записью реальной жертвы, а не живым участником.

Использование украденных видео

FBI сообщает, что FaceStealer по-прежнему в значительной степени полагается на украденные настоящие видео. Сгенерированные дипфейки предоставляют дополнительный способ выдавать себя за участников. Веб-камера жертвы становится частью атаки до того, как начинается предполагаемое устранение неполадок.

FLASH сообщает, что запись начинается, когда жертва впервые нажимает на ссылку мошеннической встречи.

Злоумышленники могут позже использовать это видео, чтобы выдать себя за жертву. Во время встречи злоумышленник утверждает, что есть аудио или другая техническая проблема. Предлагаемое решение может быть в виде запроса на обновление, скрипта или кода для вставки в терминал.

Установка вредоносного ПО

Следуя инструкциям, устанавливается вредоносное ПО, которое, по словам FBI, может включать инструменты для сбора куки браузера, записи нажатий клавиш, захвата экранов и поддержания доступа к устройству. Вот где схема соединяет кражу с выдачей себя за другого.

Доступ к компьютеру может раскрыть криптовалюту или другой ценный доступ. Украденные учетные записи связи, списки контактов и записи с веб-камерами предоставляют хакерам материал для следующего подхода.

Рекомендации FBI

Страница ресурсов FBI по FaceStealer описывает тот же цикл компрометации, захвата аккаунтов и поддельных встреч. Ущерб не обязательно проявляется немедленно. FBI сообщила о случаях, когда кража криптовалюты и захват учетных записей связи произошли через месяцы или даже более года после первоначальной компрометации.

Тихий период после подозрительной встречи не гарантирует, что устройство или учетная запись безопасны. FBI рекомендует использовать официальное приложение для встреч с кодом приглашения и, где это возможно, подтверждать приглашение через другой канал связи.

Это проверяет подход за пределами аккаунта, который злоумышленник может уже контролировать. Также рекомендуется задерживать активацию веб-камеры до тех пор, пока пригласивший не станет видимым, слышимым и доступным для общения.

Очевидная техническая неисправность не должна приводить к запуску скриптов или вставке кода терминала, представленного как обновление клиентского видео.

Действия при подозрении на компрометацию

Для людей, которые подозревают компрометацию, бюро рекомендует:

• обезопасить криптовалюту в новом крипто-кошельке, созданном на некомпрометированном устройстве;
• защитить учетные записи связи и разработчиков;
• уведомить контакты и работодателей;
• сообщить в IC3 с ключевым словом FaceStealer.

Уведомление контактов может прервать дальнейшие подходы, которые могут повторно использовать украденный аккаунт и запись.