Hacker nordcoreani hanno rubato 400 milioni di dollari con finte videochiamate Zoom

Dall’altra parte della videochiamata c’era un amico, un collega o un investitore che la vittima conosceva già. Ma si trattava di una registrazione. Secondo l’FBI, gli hacker nordcoreani attirano le persone in riunioni contraffatte su Zoom e Teams, riproducendo filmati delle webcam sottratti di nascosto a vittime precedenti; poi convincono il nuovo bersaglio a installare un malware camuffato da rapida soluzione a un problema tecnico.

L’agenzia ha dato alla truffa il nome di FaceStealer: lo schema trasforma uno dei momenti più ordinari del lavoro da remoto nell’attacco stesso. L’invito arriva dall’account autentico di una persona fidata, la riunione sembra svolgersi nell’app che si usa ogni giorno e chi aspetta dall’altra parte appare proprio come ci si aspetterebbe. Secondo l’FBI, la messinscena può ingannare anche utenti esperti e attenti alla sicurezza.

La portata è notevole. In un’allerta rivolta al settore delle criptovalute e ai manutentori di software open source, l’FBI afferma che negli ultimi 18 mesi la truffa ha fruttato oltre 400 milioni di dollari in criptovalute. Gli investigatori hanno sequestrato l’infrastruttura cloud che la sosteneva e più di 900 video delle webcam di vittime impegnate nel settore crypto e Web3 in tutto il mondo. Gli hacker li conservavano in un archivio da usare per impersonarle in attacchi successivi.

Ogni attacco prende il via da una persona già compromessa. Gli hacker si impossessano del suo account Telegram o di un’altra app di messaggistica, leggono la cronologia delle chat e contattano i suoi interlocutori con inviti personalizzati per riallacciare i rapporti, discutere di una collaborazione o parlare di un investimento. Poi arriva un invito tramite Calendly, spesso senza il link alla riunione. Il collegamento viene inviato solo poco prima della chiamata e porta a un indirizzo contraffatto che apre una copia di Zoom o Teams controllata dagli hacker. Al suo interno, la vittima vede il contatto che conosce, spesso insieme ad altri partecipanti: sono tutti filmati preregistrati.

A quel punto scatta l’inganno. Un messaggio del falso contatto dice che non si riesce a sentire la vittima e suggerisce di installare un aggiornamento, eseguire uno script o incollare una riga di codice nel terminale. La presunta soluzione installa un programma che sottrae i cookie del browser, un keylogger, un software per catturare lo schermo e una backdoor. Gli hacker registrano la webcam della vittima fin dal momento in cui clicca sul link: così il nuovo bersaglio diventa il volto con cui attirare la persona successiva. «Se non riuscite a immaginare una situazione in cui potreste cadere nella trappola, significa che non state pensando in modo abbastanza creativo», ha dichiarato Patrick Grandy, a capo dell’ufficio dell’FBI di Los Angeles.

Il rischio va ben oltre i portafogli di criptovalute. L’FBI afferma che la stessa tecnica è stata usata contro persone che mantengono codice open source ampiamente utilizzato. In un caso, il manutentore di una popolare libreria JavaScript, scaricata decine di milioni di volte a settimana, ha partecipato a una falsa riunione su Teams con una persona che riconosceva, ha seguito le istruzioni per risolvere il problema e ha infettato il proprio computer. Gli hacker hanno quindi sfruttato il suo accesso per inserire dipendenze malevole nei download della libreria, prima che la compromissione venisse scoperta. L’agenzia riferisce che altri tentativi hanno preso di mira manutentori su npm, il principale registro di pacchetti JavaScript, e, più di recente, sviluppatori Rust. Basta ingannare un solo manutentore per mettere un malware a disposizione di milioni di persone che non hanno mai partecipato a una chiamata.

Anche l’intelligenza artificiale entra in gioco, ma in misura minore di quanto lascerebbero pensare i titoli sui deepfake. Secondo l’FBI, il gruppo ha iniziato a generare video deepfake di personaggi di spicco del mondo crypto, che devono solo sembrare riprese sgranate di una webcam. Lo schema, tuttavia, si basa ancora in larghissima parte su video autentici sottratti a vittime reali: per questo un sistema di rilevamento dei deepfake non riuscirebbe a individuare la maggior parte di queste chiamate.

Lo smantellamento dell’infrastruttura lascia comunque molti interrogativi aperti. I server possono essere sostituiti e le persone dietro la truffa, che l’FBI attribuisce al gruppo di hacker nordcoreano legato allo Stato noto come BlueNoroff, APT38 o Sapphire Sleet, operano dalla Corea del Nord, fuori dalla portata dei tribunali statunitensi. L’FBI non ha detto quante delle persone presenti nei 900 video abbiano perso denaro. In diversi casi, inoltre, gli hacker hanno aspettato mesi, talvolta più di un anno, prima di svuotare un portafoglio, lasciando che il suo saldo crescesse: alcune vittime potrebbero quindi non sapere ancora che il proprio computer è stato compromesso.

I consigli dell’FBI sono pratici. Partecipate alle riunioni usando l’app ufficiale di Zoom o Teams e un codice di invito, anziché un link web, soprattutto se il contatto è nuovo o poco frequente. Tenete la videocamera spenta finché non riuscite a vedere, sentire e parlare con la persona che vi ha invitato. Non eseguite mai uno script né incollate codice nel terminale per risolvere un problema durante una chiamata. Diffidate degli inviti di calendario senza link alla riunione e dei collegamenti che arrivano pochi minuti prima dell’inizio; verificate l’appuntamento tramite un altro canale. Attivate l’autenticazione a più fattori, gli avvisi di accesso e i messaggi effimeri su Telegram, WhatsApp e Slack.

L’FBI ha pubblicato l’allerta su FaceStealer il 12 novembre, lo stesso giorno in cui il Dipartimento di Giustizia ha annunciato il sequestro. Il Dipartimento ha anche dichiarato di aver ottenuto l’autorizzazione di un tribunale a sequestrare o congelare oltre 1,2 miliardi di dollari in criptovalute rubate dagli hacker nordcoreani all’exchange Binance a fine ottobre, nell’ambito di oltre 2,7 miliardi già congelati, e che proseguono le operazioni per recuperare il resto. L’FBI ha creato una pagina dedicata a FaceStealer con indicazioni per chiunque pensi di essere stato preso di mira.

Tag: sicurezza informatica, deepfake, Corea del Nord, FBI, Zoom, FaceStealer