Северокорейские хакеры украли $400 млн с помощью фальшивых звонков в Zoom

На другом конце видеозвонка был знакомый — друг, коллега или инвестор, которого жертва уже знала. Но это была запись. По данным ФБР, северокорейские хакеры заманивают людей на поддельные встречи в Zoom и Teams, включая видео с веб-камер, тайно записанные у предыдущих жертв, а затем убеждают новых собеседников установить вредоносное ПО под видом быстрого решения технической проблемы.

Бюро называет эту схему FaceStealer. Она превращает самый привычный момент удалённой работы в саму атаку. Приглашение приходит с настоящего аккаунта человека, которому вы доверяете; встреча выглядит как приложение, которым вы пользуетесь каждый день; а перед вами оказывается именно тот, кого вы и ожидали увидеть. ФБР предупреждает: схема может обмануть даже опытных пользователей, внимательно относящихся к безопасности.

Масштаб схемы велик. В предупреждении для криптовалютной индустрии и разработчиков, сопровождающих программное обеспечение с открытым исходным кодом, ФБР сообщает, что за последние 18 месяцев с её помощью похитили криптовалюту на сумму более $400 млн. Следователи изъяли облачную инфраструктуру, которую использовали преступники, а также более 900 видеозаписей с веб-камер жертв, работавших в сферах криптовалют и Web3 по всему миру. Хакеры хранили эти записи как библиотеку, чтобы выдавать себя за их героев в последующих атаках.

Каждая атака начинается с человека, чей аккаунт уже взломали. Злоумышленники получают доступ к его Telegram или другому мессенджеру, читают историю переписки и пишут контактам от его имени. Приглашения подбирают под конкретного адресата: предлагают пообщаться, обсудить сотрудничество или поговорить об инвестициях. Затем приходит приглашение Calendly — часто без ссылки на встречу. Ссылку присылают незадолго до звонка; она ведёт на поддельный адрес, где открывается копия Zoom или Teams, контролируемая хакерами. Там жертва видит знакомого собеседника, нередко вместе с несколькими другими участниками. Все они — заранее записанные видео.

Затем срабатывает уловка. Поддельный собеседник пишет, что не слышит жертву, и предлагает установить обновление, запустить скрипт или вставить строку кода в терминал. Это «исправление» устанавливает вредоносные программы для кражи браузерных cookie, перехвата нажатий клавиш и записи экрана, а также бэкдор. Хакеры начинают записывать жертву на веб-камеру сразу после нажатия на ссылку — так новый пострадавший становится лицом, которое заманит следующего. «Если вы не можете представить себе ситуацию, в которой сами могли бы попасться на эту уловку, значит, вам не хватает воображения», — сказал Патрик Гранди (Patrick Grandy), руководитель отделения ФБР в Лос-Анджелесе.

Угроза далеко не ограничивается криптовалютными кошельками. По данным ФБР, ту же технику применяли против людей, сопровождающих широко используемый код с открытым исходным кодом. В одном случае сопровождающий крупной библиотеки JavaScript, которую скачивают десятки миллионов раз в неделю, присоединился к поддельному звонку в Teams с человеком, которого узнал, выполнил предложенное «исправление» и заразил свой компьютер. Затем хакеры воспользовались его доступом, чтобы внедрить вредоносные зависимости в загрузки библиотеки — до того, как взлом обнаружили. Бюро сообщает и о других попытках атаковать сопровождающих пакеты на npm, основном реестре пакетов JavaScript, а в последнее время — разработчиков на Rust. Один обманутый сопровождающий может распространить вредоносное ПО среди миллионов людей, которые вообще ни на какие звонки не заходили.

Искусственный интеллект тоже играет свою роль, хотя и не такую большую, как можно предположить по заголовкам о дипфейках. ФБР сообщает, что группа начала создавать дипфейк-видео известных представителей криптоиндустрии — достаточно, чтобы они выглядели как нечеткая запись с веб-камеры. Однако схема по-прежнему в подавляющем большинстве случаев опирается на настоящие видео, украденные у реальных жертв. Поэтому детектор дипфейков не распознает большинство таких звонков.

Впрочем, после операции по ликвидации инфраструктуры остаётся немало нерешённых вопросов. Серверы можно заменить, а люди, стоящие за схемой, по данным ФБР, связаны с северокорейской государственной хакерской группировкой, известной как BlueNoroff, APT38 или Sapphire Sleet, и действуют из Северной Кореи — вне досягаемости американских судов. ФБР не сообщило, сколько людей с этих 900 видеозаписей потеряли деньги. В нескольких случаях хакеры выжидали месяцы, а иногда и больше года, прежде чем опустошить кошелёк: они ждали, пока сумма на нём вырастет. Поэтому некоторые жертвы, возможно, до сих пор не знают, что их компьютеры заражены.

Рекомендации ФБР конкретны. Подключайтесь к встречам через официальное приложение Zoom или Teams, используя код приглашения, а не веб-ссылку, особенно если её прислал новый или редко появляющийся контакт. Не включайте камеру, пока не убедитесь, что видите и слышите человека, который вас пригласил, и можете с ним поговорить. Никогда не запускайте скрипты и не вставляйте код в терминал, чтобы «починить» звонок. Насторожитесь, если в приглашении из календаря нет ссылки на встречу, а сама ссылка появляется за несколько минут до начала; подтвердите встречу по другому каналу связи. Включите многофакторную аутентификацию, уведомления о входе в аккаунт и исчезающие сообщения в Telegram, WhatsApp и Slack.

ФБР опубликовало предупреждение о FaceStealer 12 ноября — в тот же день, когда Министерство юстиции объявило об изъятии инфраструктуры. В ведомстве также сообщили, что суд разрешил изъять или заморозить криптовалюту на сумму более $1,2 млрд, похищенную северокорейскими хакерами с биржи Binance в конце октября. Всего к тому моменту было заморожено более $2,7 млрд; работа по возвращению остальных средств продолжается. ФБР создало отдельную страницу FaceStealer с рекомендациями для тех, кто считает, что мог стать целью атаки.

Теги: кибербезопасность, дипфейки, Zoom, ФБР, FaceStealer, Microsoft Teams