ФБР связывает FaceStealer с северокорейскими государственными хакерами. Они захватывают аккаунты в Telegram, LinkedIn, Slack и Discord, а затем приглашают знакомых жертвы на поддельную видеовстречу, имитирующую Zoom или Teams. Во время звонка показывают подлинные записи контактов жертвы, а под предлогом технической неполадки предлагают установить «исправление» — вредоносную программу.
ФБР выявило и изъяло более 900 записей с веб-камер жертв, использовавшихся во время таких звонков. Хакеры также стали применять дипфейки известных людей из криптоиндустрии, но, отмечает ФБР, схема по-прежнему в основном опирается на подлинные записи.
«Северокорейский режим полагается на доходы от масштабных краж криптовалюты, чтобы финансировать свою незаконную оружейную программу», — заявил директор по кибероперациям ФБР Бретт Литерман.
Как схема угрожает пользователям криптовалют?
После заражения хакеры могут украсть криптовалюту сразу или выждать несколько месяцев и даже больше года — в некоторых случаях они ждали, пока вырастет баланс кошелька. ФБР советует хранить в браузерных кошельках лишь небольшие суммы, не держать на устройствах seed-фразы и приватные ключи и не запускать скрипты, которые предлагают установить якобы для обновления видеоприложения.
Хакеры также пытаются получить доступ к устройствам разработчиков открытого ПО и их аккаунтам в репозиториях. В этом году они заразили компьютер сопровождающего популярной JavaScript-библиотеки и создали вредоносные зависимости, которые загружались бы вместе с ней. Атаку быстро обнаружили и предотвратили.
Что произошло с активами, украденными у Binance?
Это отдельная от FaceStealer история. По данным Минюста, примерно 29 октября члены вооружённых сил КНДР, которых ФБР называет TraderTraitor, похитили у Binance виртуальные активы на сумму более $6 млрд. Совместными усилиями правительства США и частного сектора удалось заморозить более $2,7 млрд. Минюст получил судебное разрешение на изъятие или ограничение распоряжения более чем $1,2 млрд из этой суммы.
Судебное разрешение не означает, что средства уже конфискованы или возвращены владельцам: их отслеживание продолжается. По данным Минюста, TraderTraitor отмывает деньги через криптомосты, миксеры и биржи. Ранее, 7 ноября, Госдепартамент США призвал правительства объединиться против киберугроз КНДР; новых санкций тогда не объявили. А 9 ноября Elliptic сообщила, что часть украденных у Binance средств провели через мемкоины в сети NEAR.
