Hackers norcoreanos robaron 400 millones de dólares con videollamadas falsas de Zoom

La persona al otro lado de la videollamada era un amigo, un colega o un inversionista que la víctima ya conocía. Pero se trataba de una grabación. Según el FBI, hackers norcoreanos han estado atrayendo a personas a reuniones falsas por Zoom y Teams, reproduciendo videos de cámaras web capturados en secreto de víctimas anteriores y luego convenciendo a la nueva víctima de instalar malware disfrazado de una solución técnica rápida.

El FBI llama FaceStealer a esta modalidad, que convierte un momento de lo más habitual del trabajo remoto en el propio ataque. La invitación llega desde una cuenta real de alguien de confianza, la reunión parece estar en la aplicación que usas todos los días y la persona que te espera parece ser exactamente quien esperabas. El FBI afirma que incluso puede engañar a usuarios experimentados y conscientes de los riesgos de seguridad.

La escala es considerable. En una alerta dirigida a la industria de las criptomonedas y a quienes mantienen software de código abierto, el FBI afirma que la operación ha robado más de US$400 millones en criptomonedas durante los últimos 18 meses. Los investigadores incautaron la infraestructura en la nube que la hacía posible, además de más de 900 videos de cámaras web de víctimas que trabajaban en el sector de las criptomonedas y Web3 en todo el mundo. Los hackers los conservaban en una biblioteca para hacerse pasar por ellas en ataques posteriores.

Cada ataque comienza con alguien que ya fue hackeado. Los atacantes toman el control de la cuenta de Telegram de esa persona o de otra aplicación de mensajería, leen el historial de chats y escriben a sus contactos con invitaciones personalizadas para ponerse al día, hablar de una colaboración o conversar sobre una inversión. Después envían una invitación de Calendly, a menudo sin enlace para la reunión. El enlace llega poco antes de la llamada y dirige a una dirección que imita la original, donde se abre una copia de Zoom o Teams controlada por los hackers. Dentro, la víctima ve al contacto que reconoce, a menudo junto con varios participantes más, todos grabados de antemano.

Entonces llega el engaño. Un mensaje del contacto falso dice que no se puede escuchar a la víctima y le indica que instale una actualización, ejecute un script o pegue una línea de código en la terminal. Esa supuesta solución instala un capturador de cookies del navegador, un registrador de teclas, un capturador de pantalla y una puerta trasera. Los hackers han estado grabando la cámara web de la víctima desde el momento en que hizo clic en el enlace, así que la nueva víctima se convierte en el rostro que atraerá a la siguiente. «Si no puedes imaginar una situación en la que podrías caer en esto, no estás pensando con suficiente creatividad», dijo Patrick Grandy, quien está al frente de la oficina de campo del FBI en Los Ángeles.

El riesgo va mucho más allá de las billeteras de criptomonedas. El FBI afirma que la misma técnica se ha dirigido contra personas que mantienen código abierto de uso extendido. En un caso, el mantenedor de una importante biblioteca de JavaScript, descargada decenas de millones de veces por semana, se unió a una llamada falsa de Teams con alguien que reconocía, siguió las instrucciones para supuestamente solucionar el problema e infectó su computadora. Luego, los hackers usaron su acceso para introducir dependencias maliciosas en las descargas de la biblioteca, antes de que se detectara la intrusión. El FBI señala que otros intentos han apuntado a mantenedores en npm, el principal registro de paquetes de JavaScript, y más recientemente a desarrolladores de Rust. Un solo mantenedor engañado puede poner malware al alcance de millones de personas que nunca participaron en una llamada.

La inteligencia artificial también interviene, aunque menos de lo que podrían sugerir los titulares sobre los deepfakes. El FBI afirma que el grupo comenzó a generar videos deepfake de figuras destacadas del mundo de las criptomonedas, que solo necesitan parecer grabaciones granuladas de una cámara web. Sin embargo, la operación sigue basándose abrumadoramente en videos reales robados a víctimas reales, lo que significa que un detector de deepfakes no identificaría la mayoría de estas llamadas.

La operación también deja muchas cosas sin resolver. Los servidores pueden reemplazarse y las personas detrás de la operación, que el FBI atribuye al grupo de hackers del Estado norcoreano conocido como BlueNoroff, APT38 o Sapphire Sleet, operan desde Corea del Norte, fuera del alcance de los tribunales estadounidenses. El FBI no ha dicho cuántas de las personas que aparecen en los 900 videos perdieron dinero. Y, en varios casos, los hackers esperaron meses, a veces más de un año, antes de vaciar una billetera; aguardaban mientras aumentaba su saldo, por lo que algunas víctimas quizá todavía no sepan que su computadora está comprometida.

Las recomendaciones del FBI son concretas. Únete a las reuniones desde la aplicación oficial de Zoom o Teams con un código de invitación, en lugar de usar un enlace web, sobre todo si el contacto es nuevo o poco habitual. Mantén la cámara apagada hasta que puedas ver, oír y hablar con la persona que te invitó. Nunca ejecutes un script ni pegues código en una terminal para solucionar un problema con una llamada. Desconfía si recibes una invitación de calendario sin enlace a la reunión y el enlace aparece apenas unos minutos antes de que empiece; confirma la reunión por otro canal. Activa la autenticación multifactor, las alertas de inicio de sesión y los mensajes temporales en Telegram, WhatsApp y Slack.

El FBI publicó su alerta sobre FaceStealer el 12 de noviembre, el mismo día en que el Departamento de Justicia anunció la incautación. El departamento también informó que cuenta con autorización judicial para incautar o congelar más de US$1,200 millones en criptomonedas que hackers norcoreanos robaron del exchange Binance a finales de octubre, de un total de más de US$2,700 millones congelados hasta ahora, y que continúa trabajando para recuperar el resto. El FBI habilitó una página específica sobre FaceStealer con recomendaciones para quienes crean que fueron blanco de un ataque.

Etiquetas: ciberseguridad, deepfakes, corea del norte, FBI, Zoom, FaceStealer