ABD, FaceStealer altyapısını çökertti, 1,2 milyar dolar için el koyma izni aldı

ABD Adalet Bakanlığı (DOJ) 12 Kasım’da, Kuzey Kore yönetiminin kripto para hırsızlıklarına karşı iki eylem duyurdu. Bakanlık, FaceStealer adlı sosyal mühendislik kampanyasında kullanılan bulut altyapısına el konduğunu ve Binance’ten çalınan varlıklardan 1,2 milyar dolardan fazlası için mahkemeden el koyma ya da tedbir (seizure and restraint) izni alındığını açıkladı. FBI’a göre FaceStealer son 18 ayda 400 milyon dolardan fazla kripto paranın çalınmasına yol açtı.

FaceStealer’ın işleyişi

Bakanlığın açıklamasına göre saldırganlar hedeflere, daha önceki kurbanlardan çaldıkları hesaplar üzerinden görüntülü toplantı davetleri gönderiyor. Hedef toplantıya katıldığında saldırganlar hedefin web kamerası görüntüsünü kaydediyor ve hedefin tanıdığı bir ya da birden çok önceki kurbanın önceden kaydedilmiş videosunu oynatarak güvendiği kişilerin toplantıda olduğu izlenimini yaratıyor. Bakanlık, saldırganların kripto para ve Web3 sektöründe tanınan kişilerin deepfake videolarını da kullandığını belirtiyor.

Toplantı sırasında saldırganlar, örneğin hedefin sesinin duyulmadığını söyleyerek sahte bir teknik sorun yaratıyor ve sorunu gidermesi için bir bağlantı ya da komut veriyor. Bu “düzeltme” hedefin bilgisayarına gizlice zararlı yazılım kuruyor. Bakanlığa göre bazı vakalarda saldırganlar, ilk ele geçirmeden aylar ya da bir yıldan uzun süre sonra kripto para çaldı ve iletişim hesaplarını ele geçirdi. Saldırganlar yeni kurbanın kişi listesine, sosyal medyasına ve mesajlaşma uygulamalarına erişerek onun kişisel ve iş çevresini de hedef alıyor.

The Record’un aktardığına göre davetler Calendly üzerinden gönderilen Zoom ya da Teams toplantı bağlantıları ve bağlantılar zararlı yazılım barındıran sahte alan adlarına gidiyor. The Record’a göre “düzeltme” genellikle tarayıcı çerezlerini toplayan bir araç, tuş kaydedici (keylogger), ekran görüntüsü alan bir araç ve bir arka kapı kuruyor.

Hedefteki geliştiriciler

Bakanlık bu saldırganları Sapphire Sleet, UNC1069, Dangerous Password, CryptoCore, APT38, BlueNoroff ve Stardust Chollima adlarıyla anıyor. FBI’a göre saldırganlar açık kaynak yazılım geliştiricilerini ve bakımcılarını giderek daha fazla hedef alıyor. FBI, amacın güvenilen geliştiricilerin cihazlarına ve yazılım deposu hesaplarına erişip yaygın kullanılan yazılımlar üzerinden zararlı kod dağıtmak, yani yazılım tedarik zincirini ele geçirmek olduğunu belirtiyor. The Record’a göre FBI, Kuzey Koreli hackerların npm’deki paket bakımcılarına ve son olarak Rust paketlerinin (crate) bakımcılarına yönelik başka girişimlerini de bildiğini söyledi.

Bakanlığa göre FBI, federal bir arama izniyle FaceStealer kurbanlarına ait 900’den fazla web kamerası videosuna el koydu. FBI kampanyanın işleyişini ve korunma önerilerini anlatan bir rapor ile kampanyaya ilişkin bilgilerin toplandığı bir sayfa yayımladı.

FBI Los Angeles ofisinden Patrick Grandy, FaceStealer’ın teknik açıdan en deneyimli ve güvenliğe en dikkat eden kullanıcıları bile kandırabildiğini, görüntülü görüşme platformlarına ve kişisel ilişkilere duyulan güveni istismar ettiğini söyledi. Görüntülü bir görüşme sırasında ses ya da görüntü sorununu gidermek için gönderilen bir bağlantıyı açmak ya da bir komut çalıştırmak, bu kampanyanın temel tuzağı.

Binance’ten çalınan varlıklar

Bakanlığa göre FBI’ın TraderTraitor olarak adlandırdığı Kuzey Kore ordusu mensupları 29 Ekim civarında Binance’ten 6 milyar dolardan fazla sanal varlık çaldı. ABD hükümeti ve özel sektörün ortak çabalarıyla şimdiye kadar 2,7 milyar dolardan fazlası donduruldu ve Bakanlık bunun 1,2 milyar dolardan fazlası için mahkemeden el koyma ya da tedbir izni aldı. Bakanlık, TraderTraitor’ın çalınan varlıkları kripto para köprüleri, karıştırıcılar (mixer) ve borsalar üzerinden aklamaya devam ettiğini, varlıkların izlenmesi, dondurulması ve geri alınması çalışmalarının sürdüğünü belirtiyor.

The Record’un aktardığına göre blokzincir istihbarat şirketi Elliptic, Kuzey Koreli aklayıcıların değersiz tokenler oluşturup bunları merkeziyetsiz borsaların likidite havuzlarında kullandığını, böylece çalınan varlıkları tutan cüzdanlardan alıcı cüzdanlara doğrudan bir transfer olmadan para taşıdığını gözlemledi. The Record’a konuşan bir FBI ajanı, FaceStealer’ın Binance saldırısında kullanılan yöntemlerden biri olup olmadığının belli olmadığını söyledi.

Binance’in kendi incelemesine göre saldırı sahte bir iş görüşmesiyle başlamıştı. Ayrıntıları ayrı bir haberde anlatmıştık.