Nordkoreanska hackare stal 400 miljoner dollar med falska Zoom-samtal

Ansiktet på andra sidan videosamtalet tillhörde en vän, kollega eller investerare som måltavlan redan kände. Men det var en inspelning. Enligt FBI har nordkoreanska hackare lockat in människor i imitationer av Zoom- och Teams-möten, spelat upp webbkameramaterial som i hemlighet spelats in från tidigare offer och sedan övertalat den nya måltavlan att installera skadlig kod förklädd till en snabb teknisk lösning.

FBI kallar upplägget FaceStealer. Det förvandlar ett av distansarbetets mest vardagliga inslag till själva attacken. Inbjudan kommer från ett riktigt konto som tillhör någon du litar på, mötet ser ut som appen du använder varje dag och personen som väntar på dig verkar vara precis den du förväntade dig. FBI uppger att upplägget kan lura även erfarna användare som är måna om sin säkerhet.

Omfattningen är stor. I en varning riktad till kryptobranschen och förvaltare av programvara med öppen källkod uppger FBI att upplägget har stulit kryptovaluta till ett värde av mer än 400 miljoner dollar under de senaste 18 månaderna. Utredarna beslagtog den molninfrastruktur som låg bakom attackerna, liksom mer än 900 webbkameravideor av offer som arbetade med krypto och Web3 runt om i världen. Hackarna sparade videorna i ett bibliotek för att kunna imitera personerna i senare attacker.

Varje attack börjar med någon som redan har blivit hackad. Angriparna tar över personens Telegram-konto eller en annan meddelandeapp, läser chatthistoriken och skriver till personens kontakter med skräddarsydda inbjudningar om att höras, diskutera ett samarbete eller prata om en investering. Därefter kommer en Calendly-inbjudan, ofta utan möteslänk. Länken dyker upp först strax före samtalet och leder till en snarlik webbadress som öppnar en kopia av Zoom eller Teams, kontrollerad av hackarna. Där ser måltavlan sin välbekanta kontakt, ofta tillsammans med flera andra deltagare – alla förinspelade.

Sedan kommer tricket. Ett meddelande från den falska kontakten säger att måltavlan inte hörs och hänvisar till en uppdatering, ett skript som ska köras eller en kodrad som ska klistras in i terminalen. Den här ”lösningen” installerar en webbläsarkapare som stjäl kakor, en tangentloggare, ett verktyg för skärminspelning och en bakdörr. Hackarna spelar in måltavlans webbkamerabild från samma ögonblick som länken klickas på. Det nya offret blir därmed ansiktet som lockar in nästa. ”Om du inte kan föreställa dig ett scenario där du skulle kunna falla offer för det här, tänker du inte tillräckligt kreativt”, säger Patrick Grandy, som leder FBI:s fältkontor i Los Angeles.

Risken sträcker sig långt bortom kryptoplånböcker. FBI uppger att samma teknik har riktats mot personer som underhåller brett använda program med öppen källkod. I ett fall gick förvaltaren av ett stort JavaScript-bibliotek, som laddas ned tiotals miljoner gånger i veckan, med i ett falskt Teams-samtal med någon han kände igen. Han följde det föreslagna felsökningsrådet och infekterade sin dator. Hackarna använde sedan hans åtkomst för att smuggla in skadliga beroenden i bibliotekets nedladdningar, innan intrånget upptäcktes. FBI uppger att andra försök har riktats mot förvaltare på npm, det främsta paketregistret för JavaScript, och på senare tid även mot Rust-utvecklare. En enda lurad förvaltare kan sprida skadlig kod till miljontals människor som aldrig har deltagit i något samtal.

Artificiell intelligens spelar en roll, men en mindre sådan än rubriker om deepfakes kan ge intryck av. FBI uppger att gruppen har börjat skapa deepfake-videor av framstående personer inom krypto, som bara behöver hålla för gryniga webbkamerabilder. Ändå bygger upplägget fortfarande i överväldigande grad på äkta video som stulits från verkliga offer. Det innebär att en deepfake-detektor inte skulle upptäcka de flesta av samtalen.

Tillslaget lämnar också många frågor olösta. Servrar kan ersättas, och personerna bakom upplägget – som FBI kopplar till den nordkoreanska statliga hackergruppen BlueNoroff, APT38 eller Sapphire Sleet – verkar från Nordkorea, utom räckhåll för amerikanska domstolar. FBI har inte uppgett hur många av personerna i de 900 videorna som förlorade pengar. I flera fall väntade hackarna dessutom i månader, ibland mer än ett år, innan de tömde en plånbok. De avvaktade medan saldot växte, vilket innebär att vissa offer kanske ännu inte vet att deras dator har utsatts för intrång.

FBI:s råd är konkreta. Anslut till möten via den officiella Zoom- eller Teams-appen med en inbjudningskod i stället för en webblänk, särskilt när inbjudan kommer från nya eller ovanliga kontakter. Ha kameran avstängd tills du kan se, höra och prata med personen som bjöd in dig. Kör aldrig ett skript och klistra aldrig in kod i en terminal för att få ett samtal att fungera. Var misstänksam om en kalenderinbjudan saknar möteslänk och länken dyker upp bara några minuter före mötesstarten, och bekräfta mötet via en annan kanal. Aktivera multifaktorautentisering, inloggningsaviseringar och meddelanden som försvinner i Telegram, WhatsApp och Slack.

FBI publicerade sin FaceStealer-varning den 12 november, samma dag som justitiedepartementet meddelade beslaget. Departementet uppgav också att det har domstolens godkännande att beslagta eller frysa mer än 1,2 miljarder dollar i kryptovaluta som nordkoreanska hackare stal från kryptobörsen Binance i slutet av oktober. Det är en del av de mer än 2,7 miljarder dollar som hittills har frysts, och arbetet med att återvinna resten fortsätter. FBI har skapat en särskild FaceStealer-sida med råd till alla som tror att de kan ha varit måltavlor.

Taggar: cybersäkerhet, deepfakes, FBI, Nordkorea, Zoom, FaceStealer