ФБИ и американското Министерство за правда презедоа мерки против FaceStealer, кампања за сајбер-напади која, според американските власти, е поврзана со Северна Кореја. Во акцијата е запленета облачна инфраструктура што ја користеле напаѓачите, а на неа биле пронајдени околу 900 видеа од лица кои биле цел на нападите.

FaceStealer се потпира на внимателно подготвени измами со социјален инженеринг. Напаѓачите прво настојуваат да добијат пристап до комуникациски апликации на одредена личност. Потоа ги користат претходните разговори, листите со контакти и снимките од видео-повици за да изградат уверлива лажна приказна и да стигнат до следната цел.

Чест пристап е испраќање понуди за работа или инвестиции. По подолга комуникација, жртвата е поканета на видео-состанок преку услуга што изгледа како Zoom или Teams, но всушност се одвива преку домен контролиран од напаѓачите. Таквите адреси наликуваат на легитимни веб-страници, со мали измени во името.

На состанокот може да се појават претходно снимени материјали или лажно создадени учесници, додека разговорите пред средбата содржат вистински лични детали и контекст собрани од компромитираните профили. Во одреден момент се пријавува технички проблем, а целта добива инструкција да инсталира наводно ажурирање или алатка за поправка. Софтверот, меѓутоа, содржи малициозен код.

Откако ќе се преземе контролата врз уредот, напаѓачите можат да собираат активни сесии во прелистувачот, лозинки за развојни и CI/CD системи и други пристапни податоци. Тие информации потоа може да водат до крипто-паричници или до лица со поширок пристап во компании.

ФБИ проценува дека кампањата е поврзана со кражба на околу 400 милиони долари во криптовалути. Таа се доведува во врска и со неодамнешниот напад врз Binance, во кој биле одземени повеќе од 5 милијарди долари, при што најголемиот дел од средствата бил замрзнат или вратен.

Покрај поединци и крипто-компании, FaceStealer ги таргетира и проектите со отворен код, особено JavaScript/NPM пакети и Rust библиотеки. Кампањата трае најмалку 18 месеци, а запленувањето на инфраструктурата веројатно нема целосно да ги запре обидите за нови напади.