FBI i američko Ministarstvo pravde preduzeli su mere protiv FaceStealera, kampanje sajber-napada koja je, prema navodima američkih vlasti, povezana sa Severnom Korejom. U akciji je zaplenjena oblačna infrastruktura koju su koristili napadači, a na njoj je pronađeno oko 900 video-snimaka osoba koje su bile meta napada.
FaceStealer se oslanja na pažljivo pripremljene prevare društvenog inženjeringa. Napadači najpre nastoje da dobiju pristup aplikacijama za komunikaciju određene osobe. Zatim koriste prethodne razgovore, liste kontakata i snimke video-poziva kako bi izgradili uverljivu lažnu priču i došli do sledeće mete.
Čest pristup je slanje ponuda za posao ili investicije. Posle duže komunikacije, žrtva je pozvana na video-sastanak putem usluge koja izgleda kao Zoom ili Teams, ali se zapravo odvija preko domena pod kontrolom napadača. Takve adrese liče na legitimne veb-stranice, uz male izmene u nazivu.
Na sastanku se mogu pojaviti unapred snimljeni materijali ili lažno kreirani učesnici, dok razgovori pre susreta sadrže stvarne lične detalje i kontekst prikupljene sa kompromitovanih profila. U određenom trenutku prijavljuje se tehnički problem, a meta dobija instrukciju da instalira navodno ažuriranje ili alat za popravku. Softver, međutim, sadrži maliciozni kod.
Nakon preuzimanja kontrole nad uređajem, napadači mogu da prikupljaju aktivne sesije u pregledaču, lozinke za razvojne i CI/CD sisteme i druge pristupne podatke. Te informacije zatim mogu da vode do kripto-novčanika ili do osoba sa širim pristupom u kompanijama.
FBI procenjuje da je kampanja povezana sa krađom oko 400 miliona dolara u kriptovalutama. Dovodi se u vezu i sa nedavnim napadom na Binance, u kojem je ukradeno više od 5 milijardi dolara, pri čemu je najveći deo sredstava zamrznut ili vraćen.
Pored pojedinaca i kripto-kompanija, FaceStealer cilja i projekte otvorenog koda, posebno JavaScript/NPM pakete i Rust biblioteke. Kampanja traje najmanje 18 meseci, a zaplena infrastrukture verovatno neće u potpunosti zaustaviti pokušaje novih napada.