США зупинили кампанію FaceStealer: крадіжки на $400 млн

Відеодзвінок від знайомого може виявитися пасткою. Уряд США зупинив північнокорейську кампанію FaceStealer, яка, за даними джерела, вкрала понад 400 мільйонів доларів у криптовалюті.

Як працювала схема

Мішенями були люди з криптосфери та Web3, а також розробники відкритого коду. Нападники користувалися кількома прийомами соціальної інженерії, зокрема діпфейками та ClickFix.

Кампанія тривала 18 місяців. Потім США захопили хмарну інфраструктуру, на якій вона трималася.

За попередженням ФБР, злочинці перехоплювали акаунти в Telegram, LinkedIn, Slack і Discord. З них вони запрошували жертв на відеозустрічі під різними приводами.

Що відбувалося на дзвінку

Поки жертва чекала початку зустрічі, зловмисник потай записував її відео. Пізніше запис показували іншим цілям. Іноді на дзвінку крутили записи кількох знайомих людей, щоб додати тиску на наступну жертву.

Далі хакер посилався на технічну несправність і показував фальшиве повідомлення про помилку. Для «виправлення» пропонували перейти за посиланням, наприклад на оновлення чи інсталятор. Так на комп'ютер потрапляла шкідлива програма.

Вона викрадала криптодані й облікові дані платформ відеозустрічей: Zoom, Google Meet і Microsoft Teams. Також програма давала доступ до списків контактів, соцмереж, месенджерів і вебкамер.

Влада знайшла понад 900 відео з вебкамер, які хакери таємно записали в обманутих працівників технологічних компаній.

Масштаб і наслідки

Дослідники ArticWolf приписали кампанію хакерській групі BlueNoroff. Вони нарахували 677 цілей у 58 країнах, особливо серед засновників компаній і топменеджерів. Серед інших приманок були фінансові документи, фальшиві оновлення PDF-переглядача, запити на підтвердження особи та аудити безпеки.

ФБР навело випадок, коли хакери зламали супровідника популярної JavaScript-бібліотеки з десятками мільйонів завантажень на тиждень. Його заманили на фальшиву зустріч у Teams із кількома учасниками, серед яких був знайомий розробника. Атаку вдалося зупинити завдяки швидкому виявленню. ФБР підтвердило й інші спроби проти розробників в екосистемах npm і Rust.

За даними ФБР, нападники іноді відкладали атаку на місяці або навіть понад рік після першого зламу. Імовірно, вони чекали, поки зростуть криптоактиви жертви.

Як захиститися

Рекомендації прості. Приєднуватися до зустрічей лише через офіційні застосунки за кодом запрошення. Несподівані запрошення перевіряти окремо. Тримати вебкамеру вимкненою, поки вона не потрібна. Не запускати скрипти, які пропонують як виправлення технічної проблеми.

Окремо Міністерство юстиції США повідомило, що разом із приватними компаніями заморозило понад 2,7 мільярда доларів із 6,4 мільярда, викрадених у Binance. Суд уже дозволив вилучити або арештувати понад 1,2 мільярда доларів цієї суми.

Джерело: BleepingComputer