米政府は、北朝鮮に関連するサイバー脅威グループ「FaceStealer」が主導し、18か月の間に4億ドル以上の暗号資産を窃取したとされる高度なソーシャルエンジニアリングキャンペーンの無効化と阻止に成功した。この攻撃は、暗号資産やWeb3セクターで働く個人に加え、オープンソースソフトウェアの開発者を標的にしていた。
このキャンペーンでは、ディープフェイクや「ClickFix」手法などの高度な技術が採用された。攻撃者はTelegram、LinkedIn、Slack、Discordなどのさまざまなプラットフォーム上のアカウントを侵害し、それらを使用してさまざまな口実で被害者をビデオ会議に誘い出した。これらの会議中、ハッカーたちは過去に罠にかかった被害者の知人らの録画映像を表示して心理的なプレッシャーを与え、その後、被害者にアップデートや悪意のある修正ツールのダウンロードを促す偽のエラーメッセージを表示させた。
データの窃取とソフトウェアサプライチェーンの侵害
ArticWolfやHuntressなどのセキュリティ企業による調査、および連邦捜査局（FBI）からの警報によると、使用されたマルウェアは、会議プラットフォームや暗号資産の認証情報の窃取にとどまらず、連絡先リスト、ソーシャルネットワーク、Webカメラファイルへの完全なアクセス権も攻撃者に与えた。場合によっては、攻撃者は被害者の暗号資産の残高が増加するのを確実にするため、攻撃を発動するまでに何ヶ月も待つことがあった。
また、このキャンペーンはオープンソースソフトウェアのサプライチェーンの標的化にも焦点を当てており、調査員はnpmやRustなどの開発環境における一般的なソフトウェアライブラリの開発者を侵害しようとした試みを文書化しており、これは世界的なソフトウェアインフラストラクチャに対するこれらの活動の深刻さを反映している。
実質的に何が変わるのか？
実務的な観点から見ると、この政府による介入と米当局によるグループのクラウドインフラストラクチャの掌握は、バイナンス（Binance）プラットフォームのハッキングなど、他のハッキング活動に関連する資産の凍結措置と並行して、デジタルマネーの資金洗浄および窃取オペレーションに対する強力な打撃となる。一方、ユーザーや開発者に対しては、細心の注意を払い、出所不明のスクリプトや修正ツールの実行を避け、公式アプリケーションのみを介して会議に参加し、招待を独自に検証することが推奨されている。