Минюст США и ФБР изъяли облачную инфраструктуру схемы FaceStealer: связанные с КНДР злоумышленники похитили криптовалюту на сумму более 400 млн долларов за 18 месяцев. Схема строится на видеозвонках с поддельными знакомыми и дипфейк-видео, а во время встречи жертву убеждают перейти по ссылке, которая заражает компьютер. Отдельно американские власти добились изъятия и заморозки более 1,2 млрд долларов из средств, украденных у криптобиржи Binance.
По данным Минюста США, действия скоординированы против схем КНДР по финансированию режима за счёт массовых краж криптовалюты. Изъятие инфраструктуры FaceStealer велось по делу в Центральном округе Калифорнии. Ведомство также сообщило о попытках скомпрометировать людей, участвующих в разработке и поддержке открытого программного обеспечения.
Связанных с КНДР злоумышленников публично называют Sapphire Sleet, UNC1069, APT38, BlueNoroff и другими именами. Они приглашают жертв на видеовстречи с аккаунтов, украденных у предыдущих жертв, записывают видео с веб-камеры и включают записанный ролик знакомого человека, чтобы встреча выглядела правдоподобно. Для убедительности используют и дипфейк-видео известных людей из криптоиндустрии.
Во время встречи злоумышленники имитируют техническую ошибку - например, говорят, что жертву не слышно, - и предлагают ссылку или подсказку для исправления. Переход по ней незаметно устанавливает вредоносное ПО, после чего можно украсть криптовалюту или использовать доступ к другим системам. В ряде случаев кражу и перехват аккаунтов проводили через месяцы или больше года после заражения, а контакты и соцсети жертвы использовали для новых целей.
Основные цели - люди, работающие с криптовалютами и Web3. Всё чаще злоумышленники атакуют разработчиков и сопровождающих открытое ПО, чтобы получить доступ к их устройствам и аккаунтам в репозиториях: это готовит атаки на цепочку поставок. По ордеру ФБР изъяло более 900 видео с веб-камер жертв FaceStealer.
Отдельный эпизод касается Binance: около 29 октября связанные с военными КНДР злоумышленники, которых ФБР называет TraderTraitor, украли с биржи более 6 млрд долларов. Совместными усилиями госструктур и частных компаний удалось заморозить более 2,7 млрд долларов, а суд разрешил изъять или заморозить свыше 1,2 млрд. Отслеживание продолжается: активы отмывают через мосты, миксеры и обменники.
ФБР выпустило отчёт с описанием механики схемы, рекомендациями по защите и действиями для пострадавших, а также открыло отдельный раздел на своём сайте. Расследование изъятия инфраструктуры вели Хальдун Шобаки из прокуратуры Центрального округа Калифорнии и Лос-анджелесское отделение ФБР.
Сколько человек пострадало и удалось ли вернуть украденные средства, в сообщении не уточняется. О предъявленных обвинениях в нём не говорится: ведомство сообщает об изъятии инфраструктуры и заморозке активов. Работа по отслеживанию, изъятию и конфискации активов продолжается.
