Der US-Regierung ist es gelungen, eine ausgeklügelte Social-Engineering-Kampagne einer nordkoreanischen Cyberbedrohungsgruppe namens 'FaceStealer' zu stören und zu vereiteln, die für den Diebstahl von Kryptowährungen im Wert von über 400 Millionen US-Dollar über einen Zeitraum von 18 Monaten verantwortlich gemacht wird. Die Angriffe richteten sich gegen Einzelpersonen in den Bereichen Kryptowährungen und Web3 sowie gegen Entwickler von Open-Source-Software.
Die Kampagne stützte sich auf fortschrittliche technische Methoden wie Deepfakes und die 'ClickFix'-Methode. Die Angreifer hackten Konten auf verschiedenen Kommunikationsplattformen wie Telegram, LinkedIn, Slack und Discord und nutzten diese, um Opfer unter verschiedenen Vorwänden zu Videomeetings zu locken. Während dieser Meetings spielten die Hacker vorab aufgezeichnete Videos von Personen ab, die dem Opfer bekannt waren und in frühere Fallen getappt waren, um psychologischen Druck auszubauen. Später zeigten sie gefälschte Fehlermeldungen an, die das Opfer dazu brachten, Links zum Herunterladen schädlicher Updates oder Reparatur-Tools anzuklicken.
Datendiebstahl und Angriffe auf Software-Lieferketten
Untersuchungen von Sicherheitsfirmen wie ArcticWolf und Huntress sowie Warnungen des FBI ergaben, dass die verwendete Schadsoftware nicht nur Zugangsdaten für Meeting-Plattformen und Kryptowährungsbörsen stahl, sondern den Angreifern auch vollen Zugriff auf Kontaktlisten, soziale Netzwerke und Webcam-Dateien verschaffte. In einigen Fällen warteten die Angreifer monatelang, bevor sie den Angriff auslösten, um sicherzustellen, dass die Kryptowährungsbestände der Opfer angewachsen waren.
Die Kampagne konzentrierte sich zudem auf Angriffe auf Open-Source-Software-Lieferketten. Ermittler dokumentierten Versuche, Entwickler beliebter Software-Bibliotheken in Entwicklungsumgebungen wie npm und Rust zu kompromittieren, was die Gefährlichkeit dieser Operationen für die globale Software-Infrastruktur widerspiegelt.
Was ändert sich in der Praxis?
Aus praktischer Sicht stellt dieser staatliche Eingriff und die Übernahme der Cloud-Infrastruktur der Gruppe durch die US-Behörden einen schweren Schlag gegen die Operationen zur Geldwäsche und zum Diebstahl digitaler Vermögenswerte dar, parallel zu Maßnahmen zur Trennung von Vermögenswerten im Zusammenhang mit anderen Hacks wie dem Angriff auf die Plattform Binance. Benutzer und Entwickler werden indessen ermahnt, äußerste Vorsicht walten zu lassen, die Ausführung unbekannter Skripte oder Reparatur-Tools zu vermeiden und sich strikt darauf zu beschränken, Meetings ausschließlich über offizielle Anwendungen beizutreten sowie Einladungen unabhängig zu überprüfen.