FaceStealer: Fake-Videocalls brachten Nordkorea 400 Mio. Dollar

Wie funktioniert der FaceStealer-Betrug?

Am Anfang steht eine Einladung von einem gekaperten Konto, der Absender kann also jemand sein, den man wirklich kennt. FBI-Agent Jeremy Robertson aus Los Angeles sagte, die Nachricht knüpfe oft an frühere Gespräche oder Interessen an. Die Kalendereinladung enthält Typosquatting-URLs, also Adressen, die fast richtig aussehen.

Der Link führt zu einem gefälschten Zoom- oder Teams-Meeting. Die Angreifer zeichnen die Webcam auf und spielen ein aufgezeichnetes Video der angeblichen Einladenden ab, manchmal ein Deepfake bekannter Krypto-Persönlichkeiten. Man sieht Gesicht und Lippenbewegungen, hört aber nichts. Ein Textfeld erklärt, man müsse die Software aktualisieren, und liefert den Link.

Der installiert Malware, die Kryptowährung stiehlt und die Kontaktliste an die Täter schickt, damit der Betrug weiterzieht.

Wer steckt dahinter, wer wird angegriffen?

Das FBI ordnet FaceStealer der Gruppe Sapphire Sleet zu, auch bekannt als UNC1069, Stardust Chollima, APT38 und BlueNoroff, weithin als Ableger der Lazarus Group gesehen. Ziele sind vor allem Menschen aus Krypto und Web3 sowie Open-Source-Entwickler und Maintainer. Die Hacker wollen an deren Code-Repositories, als ersten Schritt zu Lieferkettenangriffen.

Brett Leatherman, stellvertretender Direktor der FBI-Cyberabteilung, sagte, nordkoreanische Hacker verbänden zunehmend Einbrüche, Social Engineering und Deepfakes, um glaubwürdiger zu täuschen.

Den Binance-Diebstahl vom 29. Oktober schreibt das FBI TraderTraitor zu, ebenfalls mit Nordkorea verbunden. Binance zufolge begannen die Vorbereitungen im Juni, mit falschen Vorstellungsgesprächen, Malware, kompromittierten internen KI-Tools und einer fortgeschrittenen Methode zur Transaktionsfreigabe. Über 2,7 Milliarden Dollar der Beute wurden eingefroren, die gerichtliche Genehmigung betrifft davon mehr als 1,2 Milliarden.