FBIは、北朝鮮によるソーシャルエンジニアリングキャンペーン「FaceStealer」を支えていたクラウドインフラを阻止しました。このキャンペーンは、18カ月間で4億ドル超の暗号資産窃取に関与したとされています。
司法省が2026年11月12日に発表した今回の作戦は、ビデオ会議中に信頼できる知人になりすまし、偽のトラブルシューティング手順を通じてマルウェアを配布するために使われていたインフラが標的です。
捜査当局は連邦令状に基づき、被害者のウェブカメラ録画900件以上も押収しました。このキャンペーンは暗号資産の専門家を狙っており、オープンソースソフトウェアのメンテナーと、そのリポジトリへのアクセス権にも脅威を広げつつあります。
FaceStealerは、過去の侵入で乗っ取ったアカウントから招待を送るところから始まります。攻撃者はビデオ通話を設定し、標的のウェブカメラ映像を録画します。さらに、標的が見覚えのある過去の被害者の映像を再生します。
著名な暗号資産関係者をAIで生成したディープフェイクも、なりすましの信憑性を高めます。この手口は、BlueNoroffが仕掛けた、乗っ取りTelegramアカウントを使う会議の罠とよく似ています。この罠では、盗んだメッセージングアカウント、タイポスクワッティングした会議用ドメイン、演出されたビデオセッションを組み合わせ、本物らしいやり取りを作り出します。
決定的なのは、見慣れた顔が画面にあることが認証の代わりとなり、被害者が通話中の指示を信用してしまう点です。
会議が始まると、攻撃者は偽の技術的問題を持ち出します。多くの場合、標的のマイクや音声接続に不具合があると主張します。
続いて、修復策を装ったリンクやプロンプトを提示します。この指示に従うと、会議機能が復旧するのではなく、マルウェアがインストールされます。
関連するClickFixによるクリップボードインジェクションのキャンペーンでは、被害者にPowerShellコマンドを実行させ、追加のスクリプトを取得してコマンド&コントロール（C2）のアクセスを確立していました。
こうした関連事例は、ユーザー自身にトラブルシューティングを実行させる手口の技術的な危険性を示しています。ただし、今回のFaceStealerに関する発表では、具体的なコマンド、ペイロードのファミリー、永続化の仕組みは明らかにされていません。
エンドポイントを侵害した攻撃者は、暗号資産を盗み出し、接続先のインフラへのアクセスも悪用できます。さらに、連絡先リストを収集し、通信アカウントを乗っ取ります。これにより、被害者の仕事上の人脈が、新たな標的の供給源になってしまいます。
司法省によると、一部の暗号資産の窃取やアカウント乗っ取りは、最初の侵害から数カ月後、長い場合は1年以上経ってから発生しました。
別途調査されたUNC1069による認証情報とセッショントークンの窃取は、ブラウザデータや認証済みセッションが、金銭目的の侵入をどのように後押しするかを示しています。
FaceStealerの事例では、被害が時間を置いて発生します。そのため、損失が大きく遅れて表面化する場合でも、最初の会議が捜査上の重要な手がかりになります。
オープンソース開発者へと標的が広がったことで、このキャンペーンが及ぼしうる影響は変わります。攻撃者は個人のウォレットにとどまらず、メンテナーが管理するデバイスやソフトウェアリポジトリのアカウントへのアクセスを狙います。こうしたアクセスを握られると、下流の組織が利用するソフトウェアに悪意ある変更を加えられるおそれがあります。
発表は、この活動を、ソフトウェアサプライチェーン攻撃を容易にする目的で計画された侵害の試みと位置づけています。標的となったすべてのリポジトリが侵害されたと確認したわけではありません。
発表は、この作戦を、Sapphire Sleet、UNC1069、Dangerous Password、CryptoCore、APT38、BlueNoroff、Stardust Chollimaなど、公に追跡されている名称と関連づけています。
これとは別に、当局はTraderTraitorに対する措置も発表しました。10月29日ごろにBinanceから60億ドルが盗まれたとされる事件を受けたものです。政府と業界のパートナーは27億ドル超を凍結しました。裁判所の許可により、12億ドル超の差し押さえまたは拘束も可能になっています。
1万6,000以上のSOCチームがANY.RUNを活用し、脅威調査を効率化して手作業を減らしています。チームで試してみる
翻訳元: https://cyberpress.org/fbi-disrupts-north-korean-facestealer-attacks/
