Хакеры КНДР украли $400 млн с помощью видеозвонков со знакомыми жертвы

ФБР и Минюст США 12 ноября рассказали о кампании FaceStealer, в которой связанные с КНДР хакеры за 18 месяцев похитили более $400 млн в криптовалюте. Преступники взламывали аккаунты сотрудников криптокомпаний, тайно записывали их веб-камеры и показывали эти видео другим людям на поддельных встречах в Zoom и Teams. Когда жертва начинала доверять собеседнику, ей сообщали о технической ошибке и предлагали самой запустить вредоносный код.

Американские ведомства объявили об изъятии облачной инфраструктуры кампании и более 900 видеозаписей пострадавших. Записи позволяли выдавать себя за коллег и партнёров без дипфейков и синтетического голоса, потому что человек видел настоящее лицо и слышал привычный голос. Это не означает, что участников группы задержали или что украденные деньги вернули владельцам.

Цепочка начинается со взлома компьютера сотрудника криптокомпании или Web3-проекта. Из захваченного Telegram преступники получают переписку и список контактов, после чего приглашают коллег и партнёров первой жертвы на встречу от её имени. Ссылку присылают незадолго до начала, а страница копирует интерфейс Zoom, Teams или Google Meet и принадлежит злоумышленникам. На ней проигрывается записанное ранее видео знакомого человека. Когда жертва поверила в происходящее, ей сообщают, что собеседника не слышно, и предлагают обновить программу или вставить команду в терминал. После запуска команды на устройство попадает вредоносное ПО, которое, по данным ФБР, умеет:

• перехватывать cookie браузера;
• записывать нажатия клавиш;
• снимать запись экрана;
• открывать злоумышленникам удалённый доступ к устройству.

В нескольких расследованных случаях кража криптовалюты произошла спустя месяцы, а иногда больше года после заражения, поскольку преступники копируют seed-фразы и ключи, а затем следят за балансом кошелька. Каждый новый пострадавший становится инструментом для следующих атак, потому что его контакты, переписка и записи с камеры идут в дело.

Исследователи Arctic Wolf 12 ноября сравнили инфраструктуру группировки BlueNoroff с кампанией, которую изучали в апреле. Тогда в базе злоумышленников нашлись материалы примерно на 400 потенциальных целей, к ноябрю там были данные о 677 людях из 58 стран, и 84% из них составляли основатели компаний и топ-менеджеры. Весной дипфейки собирали в Adobe Premiere, теперь в ход пошли Google Generative AI, Grok Imagine, Wondershare AIGC и GPT-4o. После анализа 349 вероятно изменённых роликов исследователи предупредили, что одного визуального осмотра для выявления подделки уже недостаточно. Помимо фальшивых встреч, Arctic Wolf нашла приманки в виде:

• поддельных финансовых документов для инвестиционных сделок;
• фальшивого медиаплеера NovaStream;
• предложений обновить PDF-просмотрщик в Chrome, после которых на macOS загружается AppleScript;
• имитации аудита информационной безопасности.

Сопровождающего популярной JavaScript-библиотеки пригласили на поддельную встречу в Teams, где якобы присутствовали его знакомые, и убедили выполнить инструкции по устранению неполадки. Через доступ к репозиторию преступники попытались добавить вредоносные зависимости в библиотеку, которую скачивают десятки миллионов раз в неделю. Атаку обнаружили до массового заражения. ФБР сообщило и о попытках добраться до сопровождающих пакетов в NPM и разработчиков библиотек Rust Crates. Для российских разработчиков угроза реальна, потому что NPM-пакеты используются в проектах по всему миру, а заражённая зависимость попадает в сборку без приглашений на видеозвонки.

Взлом Binance 29 октября с ущербом более $6 млрд ФБР приписало другой группе, TraderTraitor, и к FaceStealer он не относится. Власти заморозили по нему свыше $2,7 млрд, а суд разрешил изъять или ограничить распоряжение активами на сумму более $1,2 млрд.

Рекомендации ФБР подходят и обычным пользователям, поскольку схема строится на подмене личности и уговорах запустить код самостоятельно:

• подключаться к встрече через официальное приложение и вводить код приглашения вручную;
• подтверждать неожиданные приглашения по телефону или другому известному каналу;
• не запускать камеру, пока нет уверенности, что на связи нужный человек;
• не запускать скрипты и команды, которые предлагают во время встречи;
• настроить многофакторную аутентификацию и уведомления о новых входах в мессенджеры;
• хранить крупные суммы на аппаратных кошельках.

Telegram широко используют в России, а схема с захватом аккаунта и рассылкой приглашений знакомым не зависит от страны жертвы, поэтому владельцы криптокошельков и фрилансеры в России попадают в ту же группу риска. При подозрении на заражение ФБР посоветовало не ограничиваться сменой пароля на том же устройстве, а действовать с чистого компьютера:

• создать новый кошелёк с новой seed-фразой и перенести туда средства;
• завершить активные сеансы в мессенджерах и сменить пароли;
• проверить аккаунты разработчика и репозитории;
• предупредить контакты о возможной подмене личности.

Эксперты CISOCLUB отметили, что FaceStealer строится на доверии к знакомому лицу, а не на уязвимости в Zoom или Teams, поэтому обновление программ само по себе от такой атаки не защищает. Запись с веб-камеры обходится преступнику дешевле дипфейка, а реальное лицо знакомого убеждает лучше любой синтетики.

Самый опасный эффект возникает при захвате аккаунтов разработчиков, потому что любая заражённая учётная запись открывает доступ сразу к тысячам проектов в цепочке поставок. Компаниям стоит запретить запуск команд из чатов и конференций на рабочих устройствах, а разработчикам открытого ПО нужны аппаратные ключи для публикации пакетов и проверка изменений вторым человеком. Отсутствие немедленной кражи не говорит о чистоте устройства, поэтому при малейшем подозрении имеет смысл считать скомпрометированными все ключи и сеансы.

Ранее сообщалось, что северокорейские хакеры, которых связывают с кражей у Binance криптовалюты на $6,3 млрд, начали отмывать похищенные средства через специально созданные мемкоины. Аналитики Elliptic обнаружили в сети NEAR шесть таких токенов, один из которых использовал изображение Илона Маска и надпись «Elon 2028 President». Оснований связывать предпринимателя с этой схемой нет. Через обнаруженные монеты прошло около 117 тыс. NEAR на сумму примерно $430 тыс.