FaceStealer : de faux appels vidéo, 400 M$ volés par la Corée du Nord

Comment fonctionne l'arnaque FaceStealer ?

Tout commence par une invitation envoyée depuis un compte piraté : l'expéditeur peut être quelqu'un que vous connaissez vraiment. Jeremy Robertson, agent du FBI à Los Angeles, explique que le message s'appuie souvent sur d'anciennes conversations ou des centres d'intérêt communs. L'invitation contient des URL typosquattées, c'est-à-dire des adresses presque correctes.

Le lien mène à une fausse réunion Zoom ou Teams. Les pirates enregistrent la webcam de la cible et diffusent une vidéo préenregistrée de la personne censée l'avoir invitée, parfois un deepfake d'une figure connue de la crypto. On voit le visage, les lèvres bougent, mais aucun son. Une zone de texte demande alors de mettre à jour le logiciel pour avoir le son et fournit un lien.

Ce lien installe un logiciel malveillant qui vole des cryptomonnaies et envoie la liste de contacts aux voleurs, pour relancer l'arnaque.

Qui est derrière, et qui est visé ?

Le FBI attribue FaceStealer à Sapphire Sleet, aussi appelé UNC1069, Stardust Chollima, APT38 ou BlueNoroff, largement considéré comme une branche du groupe Lazarus. Les cibles sont surtout des travailleurs de la crypto et du web3, ainsi que des développeurs et mainteneurs de logiciels libres, dont les dépôts de code servent de première étape vers des attaques sur la chaîne d'approvisionnement.

Brett Leatherman, directeur adjoint de la division cyber du FBI, affirme que les pirates nord-coréens mêlent de plus en plus intrusion, ingénierie sociale et deepfakes.

Pour Binance, le FBI attribue le vol du 29 octobre à TraderTraitor, autre groupe lié à Pyongyang. Selon Binance, la préparation a commencé en juin : faux entretiens d'embauche, logiciels malveillants, outils d'IA internes compromis et méthode avancée d'autorisation des transactions. Plus de 2,7 milliards de dollars ont été gelés, dont plus de 1,2 milliard couverts par l'autorisation judiciaire.