El gobierno estadounidense ha logrado desmantelar y frustrar una sofisticada campaña de ingeniería social liderada por un grupo de amenazas cibernéticas vinculado a Corea del Norte conocido como 'FaceStealer', al que se le atribuye el robo de más de 400 millones de dólares en criptomonedas durante un período de 18 meses. Los ataques se dirigieron a individuos que trabajan en los sectores de criptomonedas y Web3, así como a desarrolladores de software de código abierto.
La campaña se basó en técnicas tecnológicas avanzadas que incluyen deepfakes y el método 'ClickFix', donde los atacantes comprometieron cuentas en diversas plataformas de comunicación como Telegram, LinkedIn, Slack y Discord, utilizándolas para atraer a las víctimas a reuniones virtuales bajo diversos pretextos. Durante estas reuniones, los piratas informáticos mostraban clips pregrabados de personas conocidas por la víctima que habían caído en trampas anteriores para crear presión psicológica, para luego mostrar mensajes de error falsos que dirigían a la víctima hacia enlaces para descargar actualizaciones o herramientas de reparación maliciosas.
Robo de datos y compromiso de la cadena de suministro de software
Las investigaciones realizadas por empresas de seguridad como ArticWolf y Huntress, junto con las alertas de la Oficina Federal de Investigación (FBI), explicaron que el malware utilizado no se limitó al robo de credenciales de plataformas de reuniones y criptomonedas, sino que también otorgó a los atacantes acceso completo a listas de contactos, redes sociales y archivos de la cámara web. En algunos casos, los atacantes esperaban largos meses antes de activar el ataque para asegurar el crecimiento de los saldos de criptomonedas de las víctimas.
La campaña también se centró en atacar las cadenas de suministro de software de código abierto, donde los investigadores documentaron intentos de comprometer a desarrolladores de bibliotecas de software populares en entornos de desarrollo como npm y Rust, lo que refleja la peligrosidad de estas operaciones para la infraestructura de software global.
¿Qué cambia en la práctica?
En términos prácticos, esta intervención gubernamental y el control de las autoridades estadounidenses sobre la infraestructura en la nube del grupo representan un duro golpe para las operaciones de lavado y robo de dinero digital, en paralelo con las medidas de congelación de activos vinculados a otros hackeos, como el de la plataforma Binance. Por su parte, se aconseja a los usuarios y desarrolladores extremar la precaución, evitar la ejecución de cualquier script o herramienta de reparación de origen desconocido y limitarse a unirse a reuniones exclusivamente a través de aplicaciones oficiales, realizando una verificación independiente de las invitaciones.