ФБР: хакеры КНДР украли более $400 млн через поддельные видеозвонки

ФБР сообщило, что северокорейские хакеры использовали поддельные версии Zoom, Microsoft Teams и Google Meet для заражения компьютеров участников видеозвонков. За 18 месяцев злоумышленники похитили более $400 млн в криптовалюте и пытались получить доступ к популярным open-source-проектам.

Федеральное бюро расследований США предупредило о кампании FaceStealer, которую связывает с поддерживаемой властями КНДР хакерской группой, известной под названиями Sapphire Sleet, UNC1069 и BlueNoroff. По данным ведомства, за последние 18 месяцев злоумышленники похитили более $400 млн в криптовалюте.

Хакеры захватывали аккаунты жертв в Telegram, LinkedIn, Slack и Discord, после чего приглашали их контакты на видеозвонки через поддельные версии Zoom, Microsoft Teams и Google Meet. Во время звонка воспроизводились заранее записанные видео знакомых собеседнику людей. Затем жертве сообщали о технической неполадке и предлагали установить обновление, запустить сценарий или вставить код в командную строку — эти действия загружали вредоносное ПО.

ФБР выявило и изъяло более 900 записей с веб-камер, использовавшихся для последующих атак. Получив доступ к компьютеру, злоумышленники искали криптокошельки и seed-фразы, перехватывали учетные записи и устанавливали средства для кражи cookie, записи нажатий клавиш и удаленного управления системой.

FaceStealer применялся и против разработчиков открытого ПО. В одном из эпизодов хакеры заразили компьютер сопровождающего популярной JavaScript-библиотеки с десятками миллионов загрузок в неделю и попытались внедрить вредоносные зависимости. Атаку удалось обнаружить до масштабного заражения пользователей. ФБР рекомендует подключаться к конференциям через официальные приложения и коды встреч, подтверждать приглашения по независимому каналу и не выполнять команды, полученные во время видеозвонка.