ארה"ב קיבלה אישור בית משפט לתפוס יותר מ‑1.2 מיליארד דולר מגניבת בינאנס; ה‑FBI מפרק את הונאת FaceStealer

ממשלת ארה"ב הודיעה ביום חמישי כי קיבלה אישור בית משפט לתפוס או להגביל שימוש ביותר מ‑1.2 מיליארד דולר שנגנבו במהלך גניבת 6.3 מיליארד דולר של בינאנס בחודש שעבר. בית המשפט אישר גם את הסרת התשתית מבוססת ענן ששימשה בתכנית הנדסה חברתית של הרפובליקה הדמוקרטית העממית של קוריאה בשם FaceStealer, שצברה יותר מ‑400 מיליון דולר ב‑18 החודשים האחרונים.

השבת גניבת בינאנס

ה‑FBI האשים בעבר את TraderTraitor, פעולת פריצה צפון קוריאנית המקושרת לקבוצת Lazarus, בגניבת 6.3 מיליארד דולר. בינאנס מסרה בשבוע שעבר כי התוקפים הניחו את היסודות ביוני באמצעות הנדסה חברתית במהלך ראיונות עבודה מזויפים, הורדות תוכנות זדוניות, כלי AI פנימיים שנפגעו, השתלטות על נקודות קצה, ושיטת הרשאת עסקאות מתקדמת. מאז הגניבה, חוקרים פדרליים ושותפים מהמגזר הפרטי סייעו להקפיא יותר מ‑2.7 מיליארד דולר בנכסים גנובים, ואישור בית המשפט של משרד המשפטים מכסה יותר מ‑1.2 מיליארד דולר מאותו שלל.

יעדי FaceStealer

התכנית כללה סרטוני מצלמת רשת שהוקלטו בסתר. הקורבנות הם בדרך כלל אנשים העובדים בתעשיות מטבעות קריפטוגרפיים ו‑web3, וכן מפתחי תוכנה בקוד פתוח ומתחזקים המכוונים בתקווה לגשת למאגרי תוכנה שהם שולטים בהם כשלב ראשון לקראת התקפות שרשרת אספקה. ה‑FBI מסר כי תפס יותר מ‑900 סרטוני מצלמת רשת השייכים לעובדי טכנולוגיה אלה.

איך ההונאה פועלת

צפון קוריאנים שולחים ליעדים הזמנה להצטרף לפגישת וידאו מחשבונות שנחטפו, שהקורבן המיועד עשוי למצוא מוכרים או אמינים. ה‑URL מפנה את הקורבן לפגישת Zoom או Teams מזויפת, שם פושעי סייבר מקליטים את סרטון מצלמת הרשת של היעד תוך כדי השמעת סרטון מוקלט מראש מזויף של האדם שכביכול שלח את ההזמנה. לפעמים ההאקרים משתמשים גם בסרטוני deepfake של אנשים ידועים בתעשיות המטבעות הקריפטוגרפיים וה‑web3. הקורבן רואה פנים על המסך ללא שמע ומקבל הוראות טקסט האומרות שהצד השני אינו שומע אותו ושיש לשדרג את התוכנה כדי שהשמע יעבוד. לחיצה על התיקון כביכול מתקינה תוכנה זדונית גונבת מטבעות קריפטוגרפיים ושולחת את רשימת אנשי הקשר של הקורבן לגנבים הדיגיטליים.

ייחוס

ה‑FBI מייחס את FaceStealer ל‑Sapphire Sleet, קבוצה המקושרת לצפון קוריאה הידועה גם כ‑UNC1069, Stardust Chollima, APT38, ו‑BlueNoroff, ונחשבת באופן נרחב כשלוחה של קבוצת Lazarus. ברט לית'רמן, עוזר מנהל חטיבת הסייבר של ה‑FBI, אמר כי השחקנים הם חלק ממאמץ רחב יותר של צפון קוריאה לייצר הכנסות עבור המשטר, לגנוב נכסים וירטואליים, ולקבל גישה לרשתות ולמערכות מקוונות מהימנות. הוא אמר כי האקרים צפון קוריאנים משלבים יותר ויותר פריצת סייבר, הנדסה חברתית, וטכנולוגיות מתפתחות כגון deepfakes כדי להפוך מאמצי התחזות למשכנעים יותר וניתנים להרחבה.

סיקור קודם: האקרים מצפון קוריאה מואשמים בגניבת 6.3 מיליארד דולר מבינאנס

מקורות: The Register