Nordkoreanske hackere stjal 400 millioner dollar med falske Zoom-samtaler

Ansiktet på den andre siden av videosamtalen tilhørte en venn, kollega eller investor som offeret allerede kjente. Men det var et opptak. Ifølge FBI har nordkoreanske hackere lokket folk inn i falske Zoom- og Teams-møter, spilt av webkameravideoer som i hemmelighet var tatt opp fra tidligere ofre, og deretter overtalt det nye målet til å installere skadevare forkledd som en rask teknisk løsning.

FBI kaller metoden FaceStealer, og den gjør et av de mest hverdagslige øyeblikkene i fjernarbeid til selve angrepet. Invitasjonen kommer fra en ekte konto som tilhører en person du stoler på, møtet ser ut som appen du bruker hver dag, og personen som venter på deg, ser ut til å være akkurat den du forventet. FBI sier at metoden kan lure selv erfarne brukere som er opptatt av sikkerhet.

Omfanget er stort. I en advarsel rettet mot kryptovalutabransjen og vedlikeholdere av åpen kildekode sier FBI at metoden har ført til tyveri av kryptovaluta for mer enn 400 millioner dollar i løpet av de siste 18 månedene. Etterforskerne beslagla skyinfrastrukturen bak angrepene, sammen med mer enn 900 webkameravideoer av ofre som jobbet med krypto og Web3 verden over. Hackerne oppbevarte videoene i et bibliotek, klare til å bruke for å utgi seg for å være ofrene i senere angrep.

Hvert angrep starter med en person som allerede er blitt hacket. Angriperne tar kontroll over personens Telegram-konto eller en annen meldingsapp, leser chathistorikken og sender skreddersydde invitasjoner til kontaktene for å ta en prat, diskutere et samarbeid eller snakke om en investering. Deretter kommer en Calendly-invitasjon, ofte uten møtelenke. Lenken dukker først opp kort tid før samtalen og fører til en adresse som ligner den ekte, men åpner en kopi av Zoom eller Teams som hackerne kontrollerer. Der ser målet den velkjente kontakten, ofte sammen med flere andre deltakere – alle på forhånd innspilt.

Så kommer trikset. En melding fra den falske kontakten sier at lyden ikke fungerer, og viser til en oppdatering, et skript som må kjøres eller en kodelinje som skal limes inn i terminalen. «Løsningen» installerer et verktøy som stjeler nettleserinformasjonskapsler, en tasteloggfører, et verktøy for skjermopptak og en bakdør. Hackerne har filmet målet med webkamera helt siden lenken ble klikket på, slik at det nye offeret blir ansiktet som lokker den neste. «Hvis du ikke klarer å se for deg hvordan du selv kan bli lurt, tenker du ikke kreativt nok», sier Patrick Grandy, som leder FBIs lokalkontor i Los Angeles.

Risikoen strekker seg langt utover kryptolommebøker. FBI sier at den samme teknikken er blitt rettet mot personer som vedlikeholder mye brukt åpen kildekode. I ett tilfelle ble vedlikeholderen av et stort JavaScript-bibliotek, som lastes ned titalls millioner ganger i uken, med i en falsk Teams-samtale med en person han kjente igjen. Han fulgte den foreslåtte løsningen og infiserte datamaskinen sin. Hackerne brukte deretter tilgangen hans til å snike ondsinnede avhengigheter inn i nedlastingene av biblioteket, før kompromitteringen ble oppdaget. Ifølge FBI har andre forsøk vært rettet mot vedlikeholdere på npm, det viktigste registeret for JavaScript-pakker, og i nyere tid mot Rust-utviklere. Én lurt vedlikeholder kan spre skadevare til millioner av mennesker som aldri deltok i noen samtale.

Kunstig intelligens spiller en rolle, men en mindre rolle enn overskrifter om deepfake-videoer kan gi inntrykk av. FBI sier at gruppen har begynt å lage deepfake-videoer av profilerte personer i kryptomiljøet, som bare trenger å se ut som kornete webkamerabilder. Likevel bygger metoden fortsatt i all hovedsak på ekte video stjålet fra ekte ofre. Det betyr at en deepfake-detektor ikke ville fanget opp de fleste av disse samtalene.

Inngrepet har heller ikke løst alt. Servere kan erstattes, og personene bak metoden – som FBI knytter til den nordkoreanske statlige hackergruppen kjent som BlueNoroff, APT38 eller Sapphire Sleet – opererer fra Nord-Korea, langt utenfor rekkevidden til amerikanske domstoler. FBI har ikke opplyst hvor mange av personene i de 900 videoene som tapte penger. I flere tilfeller ventet hackerne dessuten i måneder, noen ganger over et år, før de tømte en lommebok. De lot saldoen vokse før de slo til, så enkelte ofre vet kanskje ennå ikke at datamaskinen deres er kompromittert.

FBIs råd er konkrete. Bli med i møter gjennom den offisielle Zoom- eller Teams-appen ved hjelp av en invitasjonskode, ikke en nettlenke, særlig når invitasjonen kommer fra nye eller sjeldent brukte kontakter. Hold kameraet av til du kan se, høre og snakke med personen som inviterte deg. Kjør aldri et skript eller lim inn kode i en terminal for å få en samtale til å fungere. Vær på vakt når en kalenderinvitasjon kommer uten møtelenke, og lenken først dukker opp noen minutter før møtet starter. Bekreft møtet gjennom en annen kanal. Slå på flerfaktorautentisering, innloggingsvarsler og meldinger som forsvinner, i Telegram, WhatsApp og Slack.

FBI publiserte FaceStealer-advarselen sin 12. november, samme dag som justisdepartementet kunngjorde beslaget. Departementet opplyste også at det har fått rettens tillatelse til å beslaglegge eller fryse kryptovaluta for mer enn 1,2 milliarder dollar, stjålet fra kryptobørsen Binance av nordkoreanske hackere i slutten av oktober. Så langt er mer enn 2,7 milliarder dollar blitt fryst, og arbeidet med å få tilbake resten fortsetter. FBI har opprettet en egen FaceStealer-side med råd til alle som tror de kan ha vært mål for angrepene.

Tagger: cybersikkerhet, deepfakes, FBI, Nord-Korea, Zoom, FaceStealer