Le FBI démantèle le réseau de vol de cryptomonnaies FaceStealer lié à la Corée du Nord

Le FBI a annoncé jeudi avoir démantelé l'infrastructure cloud utilisée dans le cadre de "FaceStealer", un stratagème nord-coréen qui utilise de faux appels vidéo et des enregistrements secrets de webcams pour cibler des personnes travaillant dans le secteur des cryptomonnaies. Selon le ministère de la Justice, ce stratagème a permis de voler plus de 400 millions de dollars au cours des 18 derniers mois, et le FBI a utilisé un mandat fédéral pour saisir plus de 900 vidéos de webcams de victimes.justice.gov

Le FBI a lié cette activité à des pirates informatiques parrainés par l'État nord-coréen, suivis sous des noms tels que Sapphire Sleet, UNC1069, APT38 et BlueNoroff, selon une alerte du FBI. Reuters a rapporté que ce groupe est distinct des pirates nord-coréens accusés du vol de 6,3 milliards de dollars le mois dernier sur la plateforme d'échange de cryptomonnaies Binance.rmb.reuters.com+1

Comment fonctionne le piège

Les invitations proviennent de comptes réels que les pirates ont détournés auprès de victimes précédentes. Ces comptes se trouvent sur des services tels que Telegram, LinkedIn, Microsoft Corporation ↗ 0.36% et Slack de Salesforce, Inc. ↘ 0.20%, selon Nextgov. Les liens mènent à des versions imitées de Zoom ↘ 0.39%, Microsoft Teams et Google Meet d'Alphabet Inc. ↗ 1.62%, a rapporté Reuters. Une fois que la cible rejoint l'appel, les pirates diffusent une vidéo préenregistrée de contacts connus de la cible et enregistrent sa propre webcam. Dans certains cas, ils ont également utilisé l'IA pour créer des deepfakes de personnalités connues du monde des cryptomonnaies.nextgov.com+2

Ensuite, une fausse erreur technique apparaît, comme une affirmation selon laquelle l'audio de la cible ne fonctionne pas. La "correction" suggérée installe des enregistreurs de frappe, des logiciels de capture d'écran, un collecteur de cookies et une porte dérobée, a rapporté The Record. "Ce n'est pas quelque chose que nous pouvons corriger avec un patch", a déclaré aux journalistes Jeremy Robertson, agent spécial responsable du bureau du FBI à Los Angeles, qualifiant le stratagème de "très, très convaincant".therecord.media+1

Logiciels open source ciblés

Le FBI a averti que les pirates s'en prennent également aux mainteneurs de logiciels open source ainsi qu'aux travailleurs du secteur des cryptomonnaies. Plusieurs tentatives ont visé des mainteneurs de paquets sur le registre NPM JavaScript et des Rust crates. Les autorités ont indiqué que l'ordinateur d'un développeur a été compromis et qu'un code malveillant a été ajouté à un logiciel largement utilisé, mais l'attaque a été détectée avant qu'elle ne se propage largement.nextgov.com+1

Saisie séparée liée à Binance

Dans une action distincte le même jour, le ministère de la Justice a obtenu l'autorisation judiciaire de saisir ou de bloquer plus de 1,2 milliard de dollars volés à Binance. Ce montant fait partie des quelque 2,7 milliards de dollars gelés après le piratage. Le FBI a attribué ce vol au groupe nord-coréen TraderTraitor, et un agent du FBI a déclaré qu'il n'était pas clair si FaceStealer avait joué un rôle dans cette affaire. La Corée du Nord a nié toute implication dans le piratage de Binance. Kim Yo Jong a qualifié les accusations de "provocation banale".thehill.com+1

"Si vous ne pouvez pas imaginer un scénario où vous pourriez en être victime, c'est que vous ne réfléchissez pas de manière assez créative", a déclaré Patrick Grandy, responsable du FBI, à propos de FaceStealer.therecord.media