Alisina NawabiDe Amerikaanse justitie neemt cloudinfrastructuur van FaceStealer in beslag, een Noord-Koreaanse campagne die volgens het ministerie in 18 maanden ruim $400 miljoen aan cryptovaluta stal via nepvideogesprekken.
Een medewerker krijgt een uitnodiging van een bekend account dat de aanvallers al hebben gekaapt. Daarna volgt een foutmelding en een verzoek om die te herstellen. Als daarvoor software moet worden geïnstalleerd of code moet worden uitgevoerd, kan een videogesprek toegang geven tot een werkapparaat, communicatieaccount of softwareomgeving.
De foutmelding vraagt om een installatie
FaceStealer gebruikt nagemaakte versies van Zoom, Teams en Google Meet. De uitnodiging komt uit een eerder gekaapt account, soms na een afspraak via een agenda-app. De vergaderlink volgt vaak pas vlak voor het gesprek en opent een nagemaakte omgeving.
De aanvaller toont opgenomen webcambeelden van eerdere slachtoffers, zodat bekende contacten aanwezig lijken. Een neppe fout over geluid of beeld leidt naar een update, script of opdracht om code in de terminal te plakken. Wie dat uitvoert, installeert malware die browsercookies, toetsaanslagen en schermbeelden verzamelt of een achterdeur opent. De FBI beschrijft de route van gekaapte accounts naar nepvergaderingen en malware via een nagebootste technische oplossing.
De autoriteiten koppelen de campagne aan meer dan $400 miljoen aan gestolen cryptovaluta in de afgelopen 18 maanden. De FBI nam ook meer dan 900 webcamvideo’s in beslag. Dat zijn beelden die aanvallers konden hergebruiken, geen telling van 900 getroffen organisaties. AI-gemaakte deepfakes kwamen in sommige gevallen voor; volgens de FBI leunde de campagne vooral op echte, eerder gestolen webcambeelden.
Bevestig de afspraak via een tweede kanaal
De uitnodiging kan komen van een eerder gekaapt account met toegang tot berichten en contactlijsten. Een bekende naam op het scherm bewijst dus niet wie er belt. De FBI adviseert werknemers onverwachte gesprekken via een al bekend, afzonderlijk kanaal te bevestigen.
Open de officiële vergaderapp en gebruik een uitnodigingscode in plaats van een link uit chat. Zet de webcam pas aan wanneer je de andere deelnemers kunt zien en horen. Werk de app buiten de vergadering bij en voer tijdens een gesprek geen scripts of terminalcode uit.
De dreiging raakt meer dan cryptowallets. In meerdere gevallen volgde diefstal pas maanden tot ruim een jaar na de besmetting. Een communicatieaccount of contactlijst kan intussen worden misbruikt. Voor een softwareteam maakt dat ook toegang tot een codearchief of het werkgeversnetwerk relevant.
Dezelfde toegang kan de softwareketen raken
De FBI zegt dat FaceStealer ook ontwikkelaars en beheerders van opensourcesoftware viseerde. Eerder dit jaar kwam een beheerder van een grote JavaScript-bibliotheek bijna in een neppe Teams-vergadering terecht. Via zijn account probeerden de aanvallers schadelijke afhankelijkheden toe te voegen aan software die tientallen miljoenen keren per week werd gedownload. Snelle ontdekking voorkwam verdere verspreiding.
Een internationale waarschuwing over de afzonderlijke WaterPlum-campagne beschreef nepvacatures en programmeeropdrachten die ontwikkelaars malware lieten uitvoeren op hun eigen computer. De FBI en internationale partners telden daar minstens 30.000 besmette apparaten in meer dan honderd landen.
De FBI noemt onder de aliassen van FaceStealer onder meer Sapphire Sleet en BlueNoroff. Amazon Threat Intelligence koppelde met middelmatige zekerheid de npm-kapingen van axios, debug en chalk aan Sapphire Sleet; die eerdere aanvallen op vertrouwde pakketten misbruikten de toegang van beheerders. Bij de kapingen plaatste de groep schadelijke code in updates nadat zij vertrouwde beheerders van softwarepakketten had benaderd.
Op 12 november beschreef Arctic Wolf Labs hoe BlueNoroff in de door hen gevolgde campagne nepvergaderingen verving door documenten, PDF-updates en controles rond digitale portemonnees. Arctic Wolf telde doelwitten in 58 landen en 677 personen in de mediaverzameling, van wie 84 procent oprichter of bestuurder was. Het gaat om mensen voor wie materiaal was voorbereid, niet om bevestigde slachtoffers. De analyse laat zien dat het verzoek om een technische fix bleef bestaan terwijl de lokmiddelen veranderden. Dat bewijst niet dat de inbeslagname van FaceStealer-infrastructuur alle activiteiten van de groep stillegt.
De Binance-beslagactie is een apart dossier
Dezelfde aankondiging noemt een andere zaak: de diefstal van meer dan $6 miljard aan cryptovaluta bij Binance rond 29 oktober. De Amerikaanse overheid schrijft die toe aan TraderTraitor, niet aan FaceStealer. Meer dan $2,7 miljard is door opsporingsdiensten en bedrijven bevroren; voor ruim $1,2 miljard gaf de rechter toestemming tot inbeslagname of vastzetten, zo schrijft The Block.
Binance meldde diezelfde dag dat het de getroffen klantactiva volledig had afgedekt, terwijl het controleerbare reservebewijs nog moest volgen. Dat zegt iets over klantdekking, niet over terugkeer van de gestolen munten. De FBI kon tegenover The Record niet bevestigen of FaceStealer bij de Binance-inbraak was gebruikt. Een verband tussen de operaties is dus niet vastgesteld.
De dossiers tonen verschillende stappen in een bredere dreiging: opsporingsdiensten bevriezen tegoeden, terwijl aanvallers via geloofwaardige contacten toegang zoeken tot mensen en systemen. De FBI maakt geen totaal aantal besmette apparaten of Nederlandse slachtoffers bekend. De 900 in beslag genomen video’s geven daarom geen volledig beeld van de omvang. Arctic Wolf laat zien dat lokmiddelen kunnen veranderen terwijl het sociale patroon blijft bestaan.
Veelgestelde vragen
Van signaal naar werkproces
Ik denk met je mee over de werkwijze rond digitale toegang, ontwerp de oplossing en bouw en automatiseer die van eerste idee tot livegang. Waar dat kan, draai ik de software self-hosted, zodat jij controle houdt over gegevens en toegang.
Dit artikel is geproduceerd samen met het Agent Team. Meer over de redactie.
