США припинили кампанію КНДР зі крадіжки криптовалюти на понад $400 млн
США припинили кампанію FaceStealer, яку пов’язують із крадіжкою криптовалюти на понад 400 млн доларів.
Уряд США припинив діяльність північнокорейської кампанії соціальної інженерії FaceStealer, яку пов’язують із викраденням криптовалюти на суму понад 400 млн доларів. Як повідомляє BBC News, американська влада вилучила хмарну інфраструктуру, на якій трималася операція, після 18 місяців її роботи.
Відеодзвінки та фальшиві виправлення
Зловмисники атакували людей із криптовалютного та Web3-секторів, а також розробників програмного забезпечення з відкритим кодом. За даними ФБР, вони захоплювали облікові записи в Telegram, LinkedIn, Slack і Discord та надсилали потенційним жертвам запрошення на відеозустрічі під різними приводами.
Під час таких дзвінків нападники демонстрували записи людей, знайомих цілі, які раніше також стали жертвами схеми. Поки людина чекала початку зустрічі, хакери таємно записували її з вебкамери. Надалі ці відео використовували в інших атаках, інколи показуючи записи кількох знайомих співрозмовників, щоб посилити тиск на ціль.
Згодом зловмисники повідомляли про нібито технічну проблему та пропонували встановити «виправлення» — оновлення чи інсталятор за посиланням. Так жертв заражали шкідливим програмним забезпеченням, здатним викрадати криптодані, облікові дані для Zoom, Google Meet і Microsoft Teams, а також отримувати доступ до списків контактів, соціальних мереж, застосунків для комунікації та записів із вебкамери.
Цілі в десятках країн
ФБР виявило понад 900 відеозаписів технічних працівників, зроблених зловмисниками приховано. Дослідники ArticWolf пов’язали FaceStealer із хакерською групою BlueNoroff та зафіксували 677 цілей у 58 країнах. Серед основних цілей були засновники компаній і керівники вищої ланки.
Крім фальшивих технічних виправлень, нападники використовували приманки у вигляді фінансових документів, оновлень переглядачів PDF, запитів на підтвердження особи та пропозицій пройти безпековий аудит. ФБР також повідомило про спроби атак на розробників в екосистемах npm і Rust crate. В одному випадку хакери скомпрометували супроводжувача популярної JavaScript-бібліотеки, однак атаку вдалося зупинити завдяки швидкому виявленню.
ФБР радить підключатися до зустрічей лише через офіційні застосунки та коди запрошення, самостійно перевіряти несподівані запрошення, вимикати вебкамеру без потреби й не запускати скрипти, запропоновані як спосіб усунути технічні несправності.
