Des hackers nord-coréens ont volé 400 millions de dollars avec de faux appels Zoom

Le visage qui apparaissait à l’autre bout de l’appel vidéo était celui d’un ami, d’un collègue ou d’un investisseur que la cible connaissait déjà. Mais il s’agissait d’un enregistrement. Selon le FBI, des hackers nord-coréens attirent leurs victimes dans de faux appels Zoom et Teams, diffusent des vidéos de webcam secrètement enregistrées lors d’attaques précédentes, puis convainquent la nouvelle cible d’installer un logiciel malveillant présenté comme une solution technique rapide.

Le FBI a baptisé cette opération FaceStealer. Elle transforme le moment le plus banal du télétravail en attaque. L’invitation provient du véritable compte d’une personne de confiance, la réunion ressemble à l’application que vous utilisez tous les jours et la personne qui vous attend semble être exactement celle à laquelle vous vous attendiez. Selon le FBI, la supercherie peut tromper même des utilisateurs expérimentés et attentifs à leur sécurité.

L’ampleur de l’opération est considérable. Dans une alerte adressée au secteur des cryptomonnaies et aux mainteneurs de logiciels open source, le FBI affirme que cette méthode a permis de dérober plus de 400 millions de dollars en cryptomonnaies au cours des 18 derniers mois. Les enquêteurs ont saisi l’infrastructure cloud utilisée par les hackers, ainsi que plus de 900 vidéos de webcam montrant des victimes travaillant dans la crypto et le Web3 partout dans le monde. Les pirates les conservaient dans une bibliothèque afin de les imiter lors d’attaques ultérieures.

Chaque attaque commence par le piratage d’une première personne. Les assaillants prennent le contrôle de son compte Telegram ou d’une autre application de messagerie, lisent son historique de conversations et contactent ses proches en leur envoyant des invitations personnalisées pour prendre des nouvelles, discuter d’une collaboration ou parler d’un investissement. Ils envoient ensuite une invitation Calendly, souvent sans lien de réunion. Celui-ci n’arrive que peu avant l’appel et renvoie vers une adresse ressemblante qui ouvre une copie de Zoom ou Teams contrôlée par les hackers. La cible y retrouve son contact, souvent accompagné de plusieurs autres participants : tous sont des enregistrements.

Vient alors le piège. Un message du faux contact indique que la cible n’est pas audible et lui propose une mise à jour, un script à exécuter ou une ligne de code à coller dans le terminal. Ce prétendu correctif installe un logiciel qui dérobe les cookies du navigateur, un enregistreur de frappe, un outil de capture d’écran et une porte dérobée. Les hackers enregistrent la webcam de leur cible dès qu’elle clique sur le lien : la nouvelle victime devient ainsi le visage qui attirera la suivante. « Si vous n’arrivez pas à imaginer un scénario dans lequel vous pourriez tomber dans le piège, c’est que vous ne faites pas assez preuve d’imagination », a déclaré Patrick Grandy, qui dirige le bureau de terrain du FBI à Los Angeles.

Le risque dépasse largement les portefeuilles de cryptomonnaies. Selon le FBI, la même technique a visé des personnes chargées de maintenir des logiciels open source largement utilisés. Dans un cas, le mainteneur d’une importante bibliothèque JavaScript, téléchargée des dizaines de millions de fois par semaine, a participé à un faux appel Teams avec une personne qu’il connaissait. Il a suivi les instructions proposées et infecté son ordinateur. Les hackers ont ensuite exploité ses accès pour introduire des dépendances malveillantes dans les téléchargements de la bibliothèque, avant que l’intrusion ne soit détectée. Le FBI affirme que d’autres tentatives ont visé des mainteneurs sur npm, le principal registre de paquets JavaScript, puis, plus récemment, des développeurs Rust. Un seul mainteneur piégé peut exposer des millions de personnes qui n’ont jamais participé au moindre appel à des logiciels malveillants.

L’intelligence artificielle joue un rôle dans l’opération, mais moins important que ne le laissent penser les gros titres sur les deepfakes. Selon le FBI, le groupe a commencé à produire des vidéos truquées de personnalités du secteur des cryptomonnaies ; il leur suffit d’avoir l’apparence d’images de webcam de mauvaise qualité. Pourtant, l’opération repose encore très largement sur de vraies vidéos volées à de vraies victimes, ce qui signifie qu’un détecteur de deepfakes ne repérerait pas la plupart de ces appels.

Le démantèlement laisse aussi de nombreuses questions sans réponse. Les serveurs peuvent être remplacés et les responsables de l’opération, que le FBI attribue au groupe de hackers nord-coréen lié à l’État et connu sous les noms de BlueNoroff, APT38 ou Sapphire Sleet, opèrent depuis la Corée du Nord, hors de portée des tribunaux américains. Le FBI n’a pas indiqué combien de personnes figurant dans les 900 vidéos ont perdu de l’argent. Dans plusieurs cas, les hackers ont attendu des mois, parfois plus d’un an, avant de vider un portefeuille, laissant son solde augmenter entre-temps. Certaines victimes peuvent donc ignorer que leur ordinateur est compromis.

Les conseils du FBI sont concrets. Rejoignez les réunions depuis l’application officielle Zoom ou Teams, à l’aide d’un code d’invitation plutôt que d’un lien web, surtout si l’invitation vient d’un contact nouveau ou peu fréquent. Gardez votre caméra éteinte jusqu’à ce que vous puissiez voir, entendre et parler à la personne qui vous a invité. N’exécutez jamais de script et ne collez jamais de code dans un terminal pour réparer un appel. Méfiez-vous des invitations dans le calendrier qui ne comportent pas de lien de réunion, surtout si celui-ci arrive quelques minutes avant le début, et confirmez la réunion par un autre moyen. Activez l’authentification multifacteur, les alertes de connexion et les messages éphémères sur Telegram, WhatsApp et Slack.

Le FBI a publié son alerte FaceStealer le 12 novembre, le jour même où le ministère de la Justice a annoncé la saisie. Le ministère a également indiqué avoir obtenu l’autorisation d’un tribunal pour saisir ou bloquer plus de 1,2 milliard de dollars en cryptomonnaies dérobées par des hackers nord-coréens à la plateforme Binance fin octobre. Plus de 2,7 milliards de dollars ont été gelés à ce jour, et les efforts pour récupérer le reste se poursuivent. Le FBI a créé une page FaceStealer dédiée, qui fournit des conseils à toute personne pensant avoir été ciblée.

Étiquettes: cybersécurité, deepfakes, Corée du Nord, FBI, Zoom, FaceStealer

Des hackers nord-coréens ont volé 400 millions de dollars avec de faux appels Zoom

Dans le même genre

Un appel WeChat manqué peut vider votre compte — l’IA a écrit le ver en deux jours

Des agents IA ont piraté des sites de John Deere et SharkNinja pour 50 dollars pièce

Faille Oracle PeopleSoft notée 9.8/10 : ShinyHunters dans 100+ organisations pendant deux semaines

GlassWorm s’est caché un an dans des extensions VS Code avant son démantèlement

Des voix de PDG clonées par l’IA ont soutiré 129 millions de dollars à des hôpitaux

Le malware Volta fouille vos reçus Gmail puis demande à une IA ce que vous valez

Discussion