Hakerzy z Korei Północnej ukradli 400 mln dolarów dzięki fałszywym rozmowom na Zoomie

Osoba po drugiej stronie wideorozmowy była znajomym, współpracownikiem albo inwestorem, którego ofiara już znała. Tyle że obraz pochodził z nagrania. FBI informuje, że północnokoreańscy hakerzy zwabiają ludzi na fałszywe spotkania w Zoomie i Teamsach, odtwarzają nagrania z kamerek internetowych, które potajemnie zarejestrowali wcześniej u innych ofiar, a następnie namawiają nową osobę do zainstalowania złośliwego oprogramowania, przedstawianego jako szybka naprawa problemu technicznego.

FBI nadało tej operacji nazwę FaceStealer. W jej ramach najbardziej rutynowy element pracy zdalnej staje się samym atakiem. Zaproszenie przychodzi z prawdziwego konta należącego do zaufanej osoby, spotkanie wygląda jak aplikacja używana na co dzień, a osoba czekająca na rozmówcę zdaje się być dokładnie tym, kogo ten spodziewał się zobaczyć. FBI ostrzega, że oszustwo może zwieść nawet doświadczonych użytkowników, którzy poważnie traktują kwestie bezpieczeństwa.

Skala procederu jest duża. W alercie skierowanym do branży kryptowalut i opiekunów oprogramowania open source FBI podaje, że w ciągu ostatnich 18 miesięcy przestępcy ukradli w ten sposób kryptowaluty o wartości ponad 400 milionów dolarów. Śledczy przejęli infrastrukturę chmurową wykorzystywaną przez hakerów, a także ponad 900 nagrań z kamerek internetowych osób działających w branży kryptowalut i Web3 na całym świecie. Hakerzy gromadzili te materiały w bibliotece, by podszywać się pod ofiary podczas kolejnych ataków.

Każdy atak zaczyna się od osoby, której konto zostało już przejęte. Przestępcy włamują się na jej konto w Telegramie lub innej aplikacji do przesyłania wiadomości, odczytują historię czatów, a potem piszą do kontaktów ofiary, wysyłając dopasowane do odbiorcy zaproszenia na rozmowę, propozycje współpracy lub dyskusji o inwestycji. Następnie przychodzi zaproszenie z Calendly, często bez linku do spotkania. Ten pojawia się dopiero na krótko przed rozmową i prowadzi do podobnego do oryginału adresu, pod którym otwiera się kontrolowana przez hakerów kopia Zooma lub Teamsów. W środku ofiara widzi znajomą osobę, często w towarzystwie kilku innych uczestników — wszyscy są nagrani.

Wtedy następuje podstęp. Fałszywy znajomy pisze, że nie słychać rozmówcy, i wskazuje aktualizację, skrypt do uruchomienia albo linijkę kodu do wklejenia w terminalu. Taka „naprawa” instaluje narzędzie wykradające ciasteczka przeglądarki, keylogger, program rejestrujący ekran oraz backdoor. Hakerzy nagrywają obraz z kamerki ofiary od chwili kliknięcia linku, więc nowa ofiara staje się twarzą, która zwabi kolejną. „Jeśli nie potrafisz sobie wyobrazić, że możesz paść ofiarą takiego oszustwa, to znaczy, że nie myślisz wystarczająco kreatywnie” — powiedział Patrick Grandy, szef biura terenowego FBI w Los Angeles.

Zagrożenie dotyczy nie tylko portfeli kryptowalutowych. FBI twierdzi, że tą samą metodą atakowano osoby utrzymujące szeroko wykorzystywany kod open source. W jednym przypadku opiekun ważnej biblioteki JavaScript, pobieranej dziesiątki milionów razy tygodniowo, dołączył do fałszywego spotkania w Teamsach z rozpoznanym przez siebie rozmówcą, zastosował się do sugerowanej „naprawy” i zainfekował swój komputer. Hakerzy wykorzystali następnie jego uprawnienia, by przemycić złośliwe zależności do plików biblioteki udostępnianych użytkownikom — zanim wykryto włamanie. FBI informuje, że inne próby ataków wymierzono w opiekunów pakietów w npm, głównym rejestrze pakietów JavaScript, a ostatnio także w programistów korzystających z Rust. Wystarczy, że hakerzy oszukają jednego opiekuna, by złośliwe oprogramowanie trafiło do milionów osób, które nie uczestniczyły w żadnej rozmowie.

Sztuczna inteligencja również odgrywa tu pewną rolę, choć mniejszą, niż mogłyby sugerować nagłówki o deepfake’ach. FBI podaje, że grupa zaczęła tworzyć deepfake’owe nagrania znanych postaci ze świata kryptowalut, które muszą jedynie uchodzić za ziarnisty obraz z kamerki internetowej. Proceder nadal opiera się jednak przede wszystkim na prawdziwych nagraniach skradzionych prawdziwym ofiarom, co oznacza, że narzędzie wykrywające deepfake’i nie rozpozna większości takich rozmów.

Akcja FBI nie rozwiązuje też wielu problemów. Serwery można zastąpić, a osoby stojące za procederem — który FBI przypisuje północnokoreańskiej państwowej grupie hakerskiej znanej jako BlueNoroff, APT38 lub Sapphire Sleet — działają z Korei Północnej, poza zasięgiem amerykańskich sądów. FBI nie podało, ilu spośród bohaterów 900 nagrań straciło pieniądze. W kilku przypadkach hakerzy czekali miesiącami, czasem ponad rok, zanim opróżnili portfel, pozwalając wcześniej rosnąć zgromadzonym w nim środkom. Niektóre ofiary mogą więc jeszcze nie wiedzieć, że ich komputer został zainfekowany.

Wskazówki FBI są konkretne. Do spotkań należy dołączać przez oficjalną aplikację Zoom lub Teams, używając kodu zaproszenia zamiast linku do strony — szczególnie gdy zaproszenie pochodzi od nowego albo rzadko kontaktującego się z nami znajomego. Kamerę warto włączyć dopiero wtedy, gdy można zobaczyć, usłyszeć i porozmawiać z osobą, która zaprosiła nas na spotkanie. Nigdy nie należy uruchamiać skryptu ani wklejać kodu do terminala, by naprawić problem z połączeniem. Podejrzane powinno być zaproszenie z kalendarza bez linku do spotkania, po którym link przychodzi dopiero na kilka minut przed jego rozpoczęciem; warto wtedy potwierdzić spotkanie innym kanałem. FBI zaleca też włączenie uwierzytelniania wieloskładnikowego, powiadomień o logowaniu oraz znikających wiadomości w Telegramie, WhatsAppie i Slacku.

FBI opublikowało alert dotyczący FaceStealer 12 listopada, tego samego dnia, w którym Departament Sprawiedliwości poinformował o przejęciu infrastruktury. Departament podał również, że uzyskał zgodę sądu na przejęcie lub zablokowanie kryptowalut o wartości ponad 1,2 miliarda dolarów, skradzionych przez północnokoreańskich hakerów z giełdy Binance pod koniec października. Łączna wartość zamrożonych dotąd środków przekracza 2,7 miliarda dolarów, a działania mające na celu odzyskanie pozostałych trwają. FBI uruchomiło specjalną stronę poświęconą FaceStealer, zawierającą wskazówki dla osób, które podejrzewają, że padły celem ataku.

Tagi: cyberbezpieczeństwo, deepfake, FBI, Korea Północna, Zoom, FaceStealer