ФБР изъяло более 900 записей с веб-камер жертв схемы FaceStealer

ФБР связывает схему FaceStealer с государственными хакерами КНДР. Злоумышленники захватывают аккаунты жертв в Telegram, LinkedIn, Slack и Discord и пишут их знакомым с приглашением на видеовстречу. Интерфейс звонка копирует Zoom или Teams, а участники на экране — подлинные записи контактов жертвы. Когда связь будто бы ломается, собеседнику предлагают установить «исправление», которое на деле оказывается вредоносной программой.

ФБР выявило и изъяло более 900 записей с веб-камер жертв, которые использовались во время таких звонков. Хакеры пробовали дипфейки известных людей из криптоиндустрии, однако основу схемы, по выводам ФБР, по-прежнему составляют реальные записи.

«Северокорейский режим полагается на доходы от масштабных краж криптовалюты, чтобы финансировать свою незаконную оружейную программу», — заявил директор по кибероперациям ФБР Бретт Литерман.

Чем грозит заражение

Украсть деньги хакеры могут сразу или отложить это на несколько месяцев, а в отдельных случаях — больше года. Известны эпизоды, когда злоумышленники ждали, пока на кошельке вырастет баланс. ФБР советует держать в браузерных кошельках лишь небольшие суммы и не хранить на устройствах seed-фразы и приватные ключи. Скрипты, которые предлагают установить якобы для обновления видеоприложения, запускать не стоит.

Отдельно хакеры пытаются попасть на устройства разработчиков открытого ПО и в их аккаунты в репозиториях. В этом году они заразили компьютер сопровождающего популярной JavaScript-библиотеки и подготовили вредоносные зависимости, которые загружались бы вместе с ней. Атаку обнаружили быстро и предотвратили.

Что известно о деньгах Binance

Это отдельная история, не связанная с FaceStealer. Согласно данным Минюста, военные КНДР, которых ФБР называет TraderTraitor, около 29 октября похитили у Binance активы более чем на $6 млрд ≈ 18,0 млрд BYN. Правительству США и частным компаниям вместе удалось заблокировать более $2,7 млрд ≈ 8,11 млрд BYN. Суд дал Минюсту право изъять либо ограничить распоряжение более чем $1,2 млрд ≈ 3,60 млрд BYN из этих средств.

Судебное разрешение пока не означает, что средства конфискованы или возвращены владельцам: отслеживание продолжается. По данным Минюста, TraderTraitor выводит деньги через криптомосты, миксеры и биржи. 7 ноября Госдепартамент США призвал правительства объединиться против киберугроз КНДР, однако новых санкций тогда не объявил. 9 ноября Elliptic сообщила, что часть средств, похищенных у Binance, провели через мемкоины в сети NEAR.