پلیس فدرال آمریکا (FBI) در هشداری به تاریخ ۱۲ نوامبر ۲۰۲۶ از کارزاری به نام FaceStealer خبر داد که به هکرهای کره شمالی نسبت داده می‌شود. به گفته وزارت دادگستری آمریکا، این کارزار در ۱۸ ماه گذشته با سرقت بیش از ۴۰۰ میلیون دلار رمزارز مرتبط بوده است.

وزارت دادگستری همان روز اعلام کرد زیرساخت ابری مورد استفاده در این کارزار را مختل کرده است. FBI نیز با حکم قضایی بیش از ۹۰۰ ویدیوی وب‌کم قربانیان را توقیف کرده است.

حمله چطور پیش می‌رود

  • مهاجمان حساب واقعی افراد را در تلگرام، لینکدین، اسلک و دیسکورد تصاحب می‌کنند و با خواندن سابقه گفت‌وگوها، دعوت‌نامه‌ای می‌نویسند که به صحبت‌های قبلی اشاره دارد.
  • زمان جلسه با یک سرویس معتبر تقویم تنظیم می‌شود، اما لینک جلسه کمی پیش از تماس می‌رسد و به نسخه‌ای تقلبی از زوم یا مایکروسافت تیمز می‌رود.
  • با اولین کلیک روی لینک، ضبط تصویر وب‌کم هدف شروع می‌شود. در جلسه، ویدیوی ذخیره‌شده قربانیان قبلی پخش می‌شود تا به نظر برسد آشنایان فرد حاضرند.
  • مهاجم مشکل صدا یا ایراد فنی را بهانه می‌کند و از هدف می‌خواهد یک به‌روزرسانی، اسکریپت یا دستور ترمینال را اجرا کند. نتیجه نصب بدافزاری است که کوکی مرورگر را می‌دزدد، کلیدهای فشرده‌شده و صفحه نمایش را ثبت می‌کند و دسترسی پنهان نگه می‌دارد.

حساب‌ها، فهرست مخاطبان و تصویر قربانی تازه در حمله بعدی دوباره به کار می‌رود. به گفته FBI، این کارزار همچنان بیشتر بر ویدیوهای واقعی سرقت‌شده تکیه دارد و دیپ‌فیک ساختگی روشی تکمیلی و نوظهور است. زیان مالی هم ممکن است چند ماه تا بیش از یک سال پس از نفوذ اولیه آشکار شود.

توصیه‌های FBI

  • ورود به جلسه از راه اپلیکیشن رسمی و با کد دعوت
  • تایید دعوت از یک کانال ارتباطی دیگر
  • روشن نکردن وب‌کم تا وقتی دعوت‌کننده دیده و شنیده نشده است
  • اجرا نکردن اسکریپت یا دستور ترمینال به اسم به‌روزرسانی برنامه تماس تصویری

FBI از کسانی که به آلودگی دستگاه خود شک دارند خواسته است رمزارز را به کیف پول تازه‌ای منتقل کنند که روی دستگاهی سالم ساخته شده، حساب‌های ارتباطی و توسعه‌دهندگی را ایمن کنند، به مخاطبان و کارفرما خبر بدهند و موضوع را با کلیدواژه FaceStealer به مرکز IC3 گزارش کنند.

منبع: CryptoSlate