FBI przejęło infrastrukturę hakerów z Korei Płn. stojących za FaceStealer

Departament Sprawiedliwości USA poinformował, że przejął infrastrukturę chmurową wykorzystywaną przez północnokoreańskich hakerów do oszustwa na wideorozmowę. Według śledczych w ciągu 18 miesięcy przestępcy ukradli w ten sposób ponad 400 mln dolarów (ok. 361 mln euro) w kryptowalutach. Równolegle amerykańskie władze uzyskały zgodę sądu na przejęcie lub zablokowanie ponad 1,2 mld dolarów pochodzących z niedawnego włamania do Binance.

Jak działa FaceStealer

FBI nazywa ten schemat „FaceStealer”. Wszystko zaczyna się od zaproszenia na spotkanie online, wysłanego z konta przejętego wcześniej innej ofierze. Gdy cel dołącza do rozmowy, napastnicy nagrywają obraz z jego kamery internetowej. Jednocześnie odtwarzają wcześniej przygotowane nagranie kogoś, kogo ofiara zna, więc sprawia wrażenie, że w spotkaniu uczestniczą zaufane osoby. Śledczy zauważyli też, że hakerzy zaczynają używać deepfake’ów generowanych przez sztuczną inteligencję, które podszywają się pod znane postacie ze świata kryptowalut.

Następnie przestępcy udają błąd techniczny i podsuwają link, który rzekomo go naprawia. W rzeczywistości instaluje on złośliwe oprogramowanie. Czasem hakerzy czekali z kradzieżą środków miesiące, a nawet ponad rok. Potem wykorzystywali listę kontaktów ofiary, żeby znaleźć kolejne cele.

Kto był na celowniku

Najczęściej atakowano osoby pracujące w branży kryptowalutowej i w szeroko pojętym sektorze internetowym. Coraz częściej celem są też twórcy oprogramowania open source, co według Departamentu Sprawiedliwości może służyć do ataków na łańcuch dostaw. Na podstawie federalnego nakazu FBI zajęło ponad 900 nagrań wideo z kamer ofiar.

Patrick Grandy, szef lokalnego biura FBI w Los Angeles, ostrzegł: „Jeśli nie potrafisz sobie wyobrazić sytuacji, w której mógłbyś paść ofiarą, nie myślisz dość kreatywnie”.

FBI wiąże FaceStealer z grupą znaną jako Sapphire Sleet lub UNC1069. To inna grupa niż wojskowi hakerzy, których obwinia się o kradzież z Binance.

Sprawa Binance

W przypadku Binance FBI przypisuje atak grupie TraderTraitor, która około 29 października miała ukraść ponad 6 mld dolarów. Agencja AP podała kwotę ok. 6,3 mld dolarów i określiła incydent jako największy napad na kryptowaluty w historii. Od tego czasu amerykańskie instytucje i firmy prywatne zamroziły ponad 2,7 mld dolarów.

Zamrożenie środków nie oznacza jeszcze ich zwrotu. Jak wyjaśnia AP, władze zwykle składają w sądzie wniosek o przepadek, a dopiero potem sędzia rozstrzyga, kto ma prawo do odzyskanych pieniędzy. Korea Północna zaprzecza udziałowi we włamaniu do Binance.

Co to oznacza dla czytelników w Polsce

Z komunikatu nie wynika, by ofiary znajdowały się w Polsce lub w Unii Europejskiej. Sama metoda nie zna jednak granic. Wideospotkania i komunikatory są wszędzie takie same, więc podobny scenariusz może spotkać każdego, kto inwestuje w kryptowaluty, pracuje w IT albo współtworzy otwarte projekty programistyczne. Kontakt z „kolegą”, którego widać na ekranie, nie jest już gwarancją, że po drugiej stronie naprawdę ktoś jest.

Z opisu schematu wynikają proste zasady ostrożności:

• Nie klikaj w „naprawcze” linki podczas spotkania ani nie instaluj niczego, co ktoś podsuwa w trakcie rozmowy.
• Potwierdź zaproszenie innym kanałem, np. telefonem, jeśli przyszło od znajomego, ale wygląda nietypowo.
• Oprogramowanie pobieraj wyłącznie z oficjalnych źródeł.
• Zachowaj dystans do osób znanych z kryptowalut, które nagle same się odzywają, bo wizerunek można podrobić.
• Rozdziel środowiska: portfel z kryptowalutami najlepiej obsługiwać na urządzeniu, na którym nie odbywasz spotkań online.

Źródło: DW – „US disrupts North Korea’s $400 million crypto scam, FBI says”