米司法省（DOJ）は木曜日、北朝鮮の集団が仕掛け、数十億ドル相当の暗号資産を盗んできた攻撃キャンペーンに対する一連の措置を発表しました。ソーシャルエンジニアリングの手口「FaceStealer」の背後にあるクラウド基盤を押収したほか、暗号資産取引所Binanceから盗まれた12億ドル超を裁判所の許可を得て差し押さえました。
2件のうち規模が大きいのは、Binanceから60億ドル超の暗号資産が盗まれた事件に関するものです。FBIはこの事件を、「TraderTraitor」と呼ぶ北朝鮮軍のハッカーによる犯行と断定しています。捜査当局は民間の暗号資産サービス事業者と連携し、盗まれた資金のうち27億ドル超を凍結しました。そのうち12億ドル超については、裁判所が差し押さえを認めています。
DOJ刑事局を率いるA. Tysen Duva司法次官補は、同局のコンピュータ犯罪部門と関係機関が、盗まれたBinanceの資産を「法執行機関の手が届かなくなる前に」凍結し、「この史上最大級の侵害の約半分」を食い止めたと述べました。
FBIも木曜日に注意喚起を出し、この手口の仕組みを詳しく説明しました。Sapphire Sleet、BlueNoroff、APT38、Stardust Chollimaなどの名で知られるハッカーは、Telegram、LinkedIn、Slack、Discordのアカウントを乗っ取り、標的をビデオ会議に招待します。会議のリンクは、タイポスクワッティングを使ったドメインに誘導します。そこにはZoomやMicrosoft Teamsの偽サイトが置かれており、「本物のインターフェースと見分けがつかないようハッカーが作り込んでいる」といいます。
FBIが押収した基盤には、密かに録画されたウェブカメラ映像900本超のライブラリが保存されていました。ハッカーはこの映像を再生して被害者になりすまし、次の攻撃に利用していました。映像は、被害者がビデオ通話の開始を待っている間に撮影されたものです。注意喚起では、ライブラリの一部を編集とぼかしを施した状態で公開しています。1件の侵害から、次の被害者の映像と連絡先リストが手に入るため、標的と被害者の数は「ねずみ算式に増えていく」と警告しました。
このキャンペーンにより、過去18カ月で暗号資産とWeb3の分野から4億ドル超が流出しました。FBIによると、後続の攻撃で被害者のなりすましに使われた映像は、900本超を押収したということです。
FBIロサンゼルス支局のPatrick Grandy支局次長は、この手口は「最も経験豊富で、セキュリティ意識の高いコンピューター利用者でさえ欺きかねない」と述べました。
「広く普及したビデオ会議プラットフォームへの信頼と、大切な人間関係への信頼を悪用しています」と同氏は語りました。
注意喚起は、この手口の影響が直接の被害者にとどまらないことも示しています。今年に入り、主要なオープンソースのJavaScriptライブラリのメンテナーが、偽のTeams会議に誘い込まれた事例を挙げています。ハッカーはメンテナーの権限を使い、正規のパッケージと一緒にダウンロードされかねない悪意ある依存パッケージを作成しました。
北朝鮮は長年、暗号資産の窃取を繰り返してきました。同時に、リモートで働くITワーカーを米企業に潜り込ませる大規模な計画も進めています。いずれも不正に得た資金を洗浄し、経済制裁を逃れるのが最終的な狙いです。
Arctic Wolfの敵対的オペレーション部門ディレクター、Justin Moore氏はCyberScoopの取材に対し、法執行機関が措置を講じてもなお、北朝鮮の手口は「規模も巧妙さも大きく進化している」と語りました。
「戦術は進化し続けていますが、目的は変わりません」とMoore氏はCyberScoopに述べました。「相手は信頼を悪用して標的の警戒心を解き、侵害につながる行動を取らせます。だからこそこうした作戦は非常に効果的で、阻止する取り組みが重要になります」
カリフォルニア州中部地区連邦検事のBill Essayli氏は、次のように述べました。「残念ながら暗号資産は、北朝鮮が被害者をだまし、悪意ある活動の資金を調達するための温床になっています。今回の差し押さえは、サイバー犯罪で金銭的利益を得る無法国家に対し、米国が今後も戦い続けることを示しています」
FBIは、今回の捜査と押収に協力したサイバーセキュリティ企業として、Arctic Wolf、Jumpsec、Microsoft Threat Intelligence Centerを挙げています。
翻訳元: https://cyberscoop.com/us-seizes-north-korea-hacking-infrastructure-binance/
