Аналитика
Американската федерална агенција ФБИ ја прекина облачната инфраструктура што ја користеа финансиски мотивираните севернокорејски хакери во шема за измама со дип-фејк содржина слична на црв, која се ширеше од една жртва до друга.
Кампањата за социјално инженерство, наречена FaceStealer од ФБИ, се припишува на група од Пјонгјанг позната како BlueNoroff, Sapphire Sleet или Stardust Chollima. Групата ги таргетираше индустриите за криптовалути и Web3, крадејќи најмалку 400 милиони долари во криптовалути преку малициозен софтвер и мамки напојувани со вештачка интелигенција во текот на изминатите 18 месеци.
Истата група е одговорна за серија напади врз синџирот на снабдување со софтвер со отворен код во последните месеци, труејќи пакети поврзани со AI framework Mastra и библиотеките JavaScript и Python. Групата го експлоатира пристапот добиен од еден компромитиран одржувач за да достигне поширок круг жртви.
Според ФБИ, во последните 18 месеци повеќе од 900 жртви станале цел на измама што Бирото ја нарекува „FaceStealer“.
„Севернокорејскиот режим се потпира на средствата стекнати преку кражби на криптовалути од големи размери за да ја финансира својата незаконска програма за оружје, при што во последните години украл милијарди долари“, вели Брет Ледерман, директор за сајбер-прашања во ФБИ.
Ова се случува една недела откако „Binance“, најголемата берза за криптовалути во светот, откри дека хакери искористиле лажни интервјуа за работа за да украдат рекордни 6,3 милијарди долари од компанијата, наведува Би Би Си.
„Она што ја прави оваа кампања особено загрижувачка е нејзината софистицираност во прилагодливоста“, ги информираше новинарите Ледерман, во телефонски разговор во четврток. „Севернокорејските хакери сè повеќе ги мешаат сајбер упадите, социјалниот инженеринг и новите технологии како што се длабоките фалсификати за да ги направат своите напори за лажно претставување поубедливи и поскалабилни.“
Иако актерот во оваа кампања за кражба на криптовалути и групата TraderTraitor зад нападот на Binance делат иста цел – насочување на украдена криптовалута кон севернокорејскиот режим, Ледерман рече дека двете шеми и актери на закана се одвоени.
„Редовно соработуваме со индустријата кога станува збор за припишување. Тие имаат огромна видливост во следењето на специфични APT сетови. Во овој случај, работевме со Arctic Wolf, JumpSec, Microsoft Threat Intelligence Center, меѓу другите“, рече Ледерман.
Напаѓачите на FaceStealer започнуваат со испраќање порака до контакт на претходно компромитирана жртва, барајќи да се јават или да разговараат повеќе за минат разговор на Zoom или Teams, рече агентот на ФБИ Џереми Робертсон. Но, врската за покана во календарот што ја обезбедуваат е печатена и оди до платформа за видео конференции контролирана од напаѓачот, направена да изгледа како вистински апликации.
Робертон рече дека напаѓачите, исто така, користеле длабоки фалсификати генерирани од вештачка интелигенција за да ги убедат своите жртви да се приклучат на состанокот.
За време на видео повикот, напаѓачите пуштаат снимка од некој што жртвата го познава, снимена за време на претходен измамен повик. Тие се преправаат дека имаат проблеми со аудио и ѝ наложуваат на жртвата да кликне на линк за да го ажурира својот уред, рече Робертсон.
Линкот презема малициозен софтвер, кој го скенира уредот на жртвата за вреден пристап како што се паричници за криптовалути и seed фрази, добива пристап до сметките и контактите на социјалните медиуми на лицето и тајно го снима видеото од веб-камерата на жртвата – истата шема што помогна да се случи тековниот експлоатација и води до следниот.
Следната жртва ќе види некој што го познава како повторно се обидува да го реши техничкиот проблем. ФБИ соопшти дека запленило над 900 видеа од веб-камерата на жртвата од складиштето во облак на напаѓачот.
Тековната проценка на финансиската загуба од FaceStealer се проценува само од жртвите што ФБИ може да ги идентификува. Агенцијата постави веб-страница за потенцијалните жртви да контактираат.
Ледерман рече дека ФБИ нема информации за тоа дали малициозниот софтвер FaceStealer е користен во хакирањето на Binance, иако е разумно да се претпостави дека севернокорејските национални држави имаат одредено ниво на споделување алатки.
Напаѓачите на Binance, исто така, се потпираа на компромитирање на синџирот на снабдување од трета страна за да добијат почетен пристап. Тие ја отруја верзијата на Homebrew, менаџер на пакети од трета страна за macOS, а инженер за инфраструктура на паричници на Binance ја преземаше изменетата верзија бидејќи се појавуваше во резултатите од пребарувањето наместо легитимниот инсталер.
Висок функционер на Министерството за правда на САД изјави во истиот повик со новинарите дека владата неодамна замрзнала 2,7 милијарди долари и добила овластување да заплени уште 1,2 милијарди долари од криптовалутата вредна 6,3 милијарди долари украдена од Binance.
