O FBI alertou que hackers ligados à Coreia do Norte usam gravações roubadas de webcams em reuniões falsas. Com os vídeos, eles se passam por profissionais conhecidos do mercado de criptomoedas e abordam contatos dessas vítimas. Segundo o órgão, a campanha FaceStealer causou mais de US$ 400 milhões em furtos de criptomoedas nos últimos 18 meses. Além disso, os criminosos podem gravar novos alvos desde o início da chamada e reutilizar as imagens em ataques futuros.

Em 12 de novembro, o Departamento de Justiça dos Estados Unidos anunciou a interrupção de uma infraestrutura de nuvem usada pelo grupo. Na mesma ação, o FBI apreendeu mais de 900 vídeos de webcams de vítimas por meio de um mandado federal. No entanto, o órgão analisou o FaceStealer separadamente do roubo envolvendo a Binance. Assim, a investigação classificou os dois episódios como casos distintos.

Contas roubadas abrem caminho para reuniões falsas

Em um alerta FLASH de 12 de novembro, o FBI explicou que os invasores sequestram contas reais no Telegram, LinkedIn, Slack e Discord. Dessa forma, eles consultam conversas anteriores e adaptam os convites com base em relações já existentes. Uma ferramenta legítima de calendário pode agendar a reunião e reforçar a aparência de normalidade. Pouco antes da chamada, porém, o alvo recebe um link malicioso para uma cópia do Zoom ou Microsoft Teams.

Quando a vítima entra na reunião, vídeos gravados fazem parecer que um contato conhecido participa da chamada. Os atacantes também podem simular vários participantes e usar filmagens obtidas em invasões anteriores. Embora deepfakes representem uma técnica adicional, o FBI afirma que o FaceStealer utiliza principalmente vídeos reais roubados. Portanto, a pessoa exibida na tela pode não estar participando ao vivo.

Gravação começa antes da falsa correção técnica

De acordo com o FBI, a gravação da webcam pode começar assim que o alvo clica no link impostor. Com isso, os hackers obtêm imagens para ataques posteriores contra amigos, colegas e contatos profissionais. Durante a chamada, um invasor alega que existe uma falha de áudio ou outro problema técnico. Em seguida, ele recomenda uma atualização, um script ou um código para colar no terminal.

Ao seguir as instruções, a vítima instala malware no dispositivo. As ferramentas podem roubar cookies do navegador, registrar teclas digitadas, capturar telas e manter o acesso ao computador. Como resultado, os criminosos conseguem alcançar criptomoedas e outras credenciais valiosas. Contas de comunicação, listas de contatos e vídeos de webcam também abastecem a próxima etapa do esquema.

Furtos podem ocorrer meses depois do primeiro acesso

O impacto não surge necessariamente logo após a reunião suspeita. O FBI relatou furtos de criptomoedas e sequestros de contas ocorridos meses ou mais de um ano após o comprometimento inicial. Por isso, a ausência de movimentações suspeitas não confirma que o dispositivo ou a conta estejam seguros. A ação anunciada pelo Departamento de Justiça também descreveu o uso de malware para ampliar o alcance dos ataques.

Para reduzir o risco, o FBI recomenda abrir a reunião no aplicativo oficial por meio de um código de convite. O usuário também deve confirmar o encontro por outro canal, pois os invasores podem controlar a conta usada no convite. Ainda, o órgão orienta manter a webcam desligada até a confirmação da identidade do convidante. Uma aparente falha técnica não deve levar o usuário a executar scripts ou comandos apresentados como atualizações.

Quem suspeitar de comprometimento deve transferir os recursos para uma nova carteira de criptomoedas, criada em um dispositivo não afetado. Paralelamente, o FBI recomenda proteger contas de comunicação e de desenvolvedor, além de avisar contatos e empregadores. A vítima também deve enviar uma denúncia ao IC3 com a palavra-chave FaceStealer. Desse modo, o alerta pode interromper tentativas que reutilizem contas e gravações roubadas contra novos alvos.

	Receba nossas últimas notícias em primeira mão.   Adicione-nos como sua fonte preferida no Google    e toque em “Favorito” para priorizar nossas atualizações.