La Corée du Nord rejoue des clips webcam de victimes pour attirer les travailleurs de la crypto

Les hackers nord-coréens ont utilisé des comptes volés à d'anciennes victimes pour inviter de nouvelles cibles dans des appels vidéo et diffusé secrètement des clips webcams enregistrés de personnes connues de ces cibles.

Selon le département de la Justice, annoncé jeudi, le schéma, connu sous le nom de FaceStealer par le FBI, a dérobé plus de 400 millions de dollars en cryptomonnaies sur 18 mois.

Le département a mis hors ligne l'infrastructure cloud de FaceStealer. Le FBI a également saisi, en vertu d'un mandat fédéral, plus de 900 vidéos webcams des victimes du schéma.

Le DOJ affirme qu'une fausse erreur audio a induit les cibles en erreur afin qu'elles installent un logiciel malveillant

Le ministère de la Justice a indiqué dans une communiqué que les équipes ciblent les personnes travaillant dans les domaines de la cryptomonnaie et du web3. Lorsqu'une cible accepte, les pirates enregistrent sa propre webcam et rejouent des vidéos préenregistrées d'un contact connu, simulant ainsi la présence d'un collègue de confiance lors de l'appel.

Les hackers produisent des vidéos deepfake de personnalités influentes dans les secteurs de la crypto et du web3 avec ce que le département qualifie d'« intelligence supérieure », puis les diffusent lors des mêmes réunions.

En cours d'appel, une panne technique fictive survient, par exemple indiquant que la cible n'est pas entendue.

Puis un lien/une invite pour « corriger » le problème. Il installe silencieusement un logiciel malveillant.

Une fois l'ordinateur piraté, les hackers peuvent voler des cryptomonnaies ou exploiter l'accès de la victime à d'autres systèmes. Dans certains cas, les vols et les prises de contrôle de comptes ont eu lieu plusieurs mois, voire plus d'un an, après la première intrusion.

Les hackers explorent également les listes de contacts, les réseaux sociaux et les applications de messagerie de chaque nouvelle victime. Les contacts personnels et professionnels découverts deviennent alors les prochaines cibles.

« Il exploite notre confiance dans les plateformes de visioconférence omniprésentes et nos relations personnelles précieuses. Si vous ne parvenez pas à imaginer un scénario où vous pourriez en être la proie, c’est que vous n’avez pas assez d’esprit créatif. »

a déclaré Patrick Grandy, directeur adjoint chargé du bureau local du FBI à Los Angeles.

FaceStealer se retourne contre les développeurs open source alors que le DOJ restreint 1,2 milliard de dollars

Les développeurs de logiciels open source sont de plus en plus ciblés. Les pirates visent leurs appareils et les comptes de dépôts de code qu’ils contrôlent, ce qui, selon le DOJ, semble conçu pour permettre des attaques par chaîne d’approvisionnement.

Le département a indiqué que FaceStealer était lié à des groupes nord-coréens nommés Sapphire Sleet, UNC1069, Dangerous Password, CryptoCore, APT38, BlueNoroff et Stardust Chollima.

En février, Cryptopolitan a rapporté qu'UNC1069 avait détourné le compte Telegram d'un dirigeant du secteur crypto pour attirer une cible vers un faux appel Zoom. Les attaquants ont ensuite simulé des problèmes audio et ont incité la victime à exécuter des commandes de dépannage.

Le FBI a publié un rapport expliquant le fonctionnement de cette arnaque, incluant des mesures de protection et des conseils pour les victimes. Ils ont également mis en place un site FaceStealer site internet servant de centre de ressources.

Le DOJ a associé la saisie de FaceStealer à une autre action. Il a obtenu l'approbation du tribunal pour saisir ou geler plus de 1,2 milliard de dollars qui avaient été volés à Binance, dans le cadre des plus de 2,7 milliards de dollars déjà gelés à ce jour.

Le département a accusé les hackers militaires nord-coréens qu'il nomme TraderTraitor d'avoir soutiré plus de 6 milliards de dollars à l'plateforme d'échange aux alentours du 29 octobre. La Corée du Nord a nié toute implication.

« Le gouvernement nord-coréen finance son régime paria et son programme d'armement illicite grâce au vol de cryptomonnaies », a déclaré M. Scott Proctor, avocat principal adjoint à la Division de la sécurité nationale.

TraderTraitor continue de blanchir les fonds de Binance via des ponts cryptographiques, des mélangeurs et des plateformes d'échange. Les efforts visant à tracer, geler, saisir et confisquer ces fonds se poursuivent.