Nordkoreanske hackere stjal 400 millioner dollar med falske Zoom-opkald

Ansigtet på den anden side af videoopkaldet tilhørte en ven, en kollega eller en investor, som offeret allerede kendte. Men det var en optagelse. Ifølge FBI har nordkoreanske hackere lokket folk ind i efterligninger af Zoom- og Teams-møder, afspillet webcamoptagelser, der i hemmelighed var optaget af tidligere ofre, og derefter overtalt det nye offer til at installere malware forklædt som en hurtig teknisk løsning.

FBI kalder metoden FaceStealer, og den forvandler et af hjemmearbejdets mest rutineprægede øjeblikke til selve angrebet. Invitationen kommer fra en ægte konto, der tilhører en person, du stoler på, mødet ligner den app, du bruger hver dag, og personen, der venter på dig, ser ud til at være præcis den, du forventede. FBI siger, at metoden kan narre selv erfarne brugere, der er opmærksomme på sikkerhed.

Omfanget er stort. I en advarsel til kryptovalutabranchens aktører og vedligeholdere af open source-software oplyser FBI, at metoden har stjålet kryptovaluta for mere end 400 millioner dollar i løbet af de seneste 18 måneder. Efterforskere beslaglagde den cloudinfrastruktur, der lå bag, samt mere end 900 webcamvideoer af ofre, der arbejdede med krypto og Web3 rundt om i verden. Hackerne opbevarede optagelserne i et bibliotek, som de brugte til at udgive sig for at være ofrene i senere angreb.

Hvert angreb begynder med en person, der allerede er blevet hacket. Angriberne overtager personens Telegram-konto eller en anden beskedapp, læser chathistorikken og skriver til vedkommendes kontakter med skræddersyede invitationer til at følge op på en samtale, tale om et samarbejde eller drøfte en investering. Derefter følger en Calendly-invitation, ofte uden et mødelink. Linket dukker først op kort før opkaldet og fører til en adresse, der ligner den ægte, men åbner en kopi af Zoom eller Teams, som hackerne kontrollerer. Inde i mødet ser offeret den velkendte kontakt, ofte sammen med flere andre deltagere, som alle er forhåndsoptagede.

Så kommer tricket. En besked fra den falske kontakt siger, at offeret ikke kan høres, og henviser til en opdatering, et script, der skal køres, eller en kodelinje, der skal indsættes i terminalen. Løsningen installerer et værktøj, der stjæler browsercookies, en keylogger, et program til skærmoptagelse og en bagdør. Hackerne har optaget offerets webcam, lige siden linket blev klikket på, så det nye offer bliver det ansigt, der lokker det næste i fælden. „Hvis du ikke kan forestille dig en situation, hvor du kunne blive offer for det, tænker du ikke kreativt nok,“ sagde Patrick Grandy, der leder FBI’s feltkontor i Los Angeles.

Risikoen rækker langt ud over kryptotegnebøger. FBI siger, at den samme teknik er blevet rettet mod folk, der vedligeholder udbredt open source-kode. I ét tilfælde deltog vedligeholderen af et stort JavaScript-bibliotek, der downloades titusindvis af millioner gange om ugen, i et falsk Teams-opkald med en person, han genkendte. Han fulgte det foreslåede råd og inficerede sin computer. Hackerne brugte derefter hans adgang til at snige ondsindede afhængigheder ind i bibliotekets downloads, før kompromitteringen blev opdaget. FBI siger, at andre forsøg har været rettet mod vedligeholdere på npm, det vigtigste pakkeregister for JavaScript, og senere også mod Rust-udviklere. Én narret vedligeholder kan få malware ud til millioner af mennesker, som aldrig har deltaget i et eneste opkald.

Kunstig intelligens spiller en rolle, om end en mindre rolle, end overskrifter om deepfakes måske kunne få én til at tro. FBI siger, at gruppen er begyndt at lave deepfake-videoer af fremtrædende personer i kryptoverdenen, som blot skal kunne forveksles med grynet webcamoptagelse. Metoden bygger dog stadig i overvejende grad på ægte video stjålet fra rigtige ofre, hvilket betyder, at en deepfake-detektor ikke ville fange de fleste af disse opkald.

Nedlukningen efterlader også mange spørgsmål ubesvarede. Servere kan udskiftes, og personerne bag metoden, som FBI tilskriver den nordkoreanske statshackergruppe kendt som BlueNoroff, APT38 eller Sapphire Sleet, opererer fra Nordkorea, langt uden for de amerikanske domstoles rækkevidde. FBI har ikke oplyst, hvor mange af personerne i de 900 videoer der mistede penge. I flere tilfælde ventede hackerne i måneder, nogle gange mere end et år, før de tømte en tegnebog. De lod saldoen vokse først, så nogle ofre ved måske endnu ikke, at deres computer er kompromitteret.

FBI’s råd er konkret. Deltag i møder via den officielle Zoom- eller Teams-app med en invitationskode i stedet for et weblink, især når invitationen kommer fra nye eller sjældne kontakter. Hold kameraet slukket, indtil du kan se, høre og tale med den person, der inviterede dig. Kør aldrig et script, og indsæt aldrig kode i en terminal for at løse problemer med et opkald. Vær på vagt, hvis en kalenderinvitation kommer uden et mødelink, og linket først dukker op få minutter før mødestart; bekræft mødet gennem en anden kanal. Slå multifaktorautentificering, loginadvarsler og forsvindende beskeder til på Telegram, WhatsApp og Slack.

FBI offentliggjorde sin FaceStealer-advarsel den 12. november, samme dag som justitsministeriet meddelte, at beslaglæggelsen havde fundet sted. Ministeriet oplyste også, at det med en retskendelse har fået tilladelse til at beslaglægge eller indefryse kryptovaluta for mere end 1,2 milliarder dollar, som nordkoreanske hackere stjal fra Binance-børsen i slutningen af oktober. Indtil videre er mere end 2,7 milliarder dollar blevet indefrosset, og arbejdet med at få resten tilbage fortsætter. FBI har oprettet en særskilt FaceStealer-side med vejledning til alle, der tror, de kan være blevet mål for angrebene.

Tags: cybersikkerhed, deepfakes, FBI, Nordkorea, Zoom, FaceStealer