دولت ایالات متحده موفق به مختل کردن یک عملیات گسترده مهندسی اجتماعی (Social Engineering) موسوم به «FaceStealer» شده است که توسط عامل‌های کره شمالی هدایت می‌شد. این کمپین مسئول سرقت بیش از ۴۰۰ میلیون دلار ارز دیجیتال بوده است.
در این حملات از تکنیک‌های چندگانه برای فریب قربانیان استفاده شده است؛ از جمله استفاده از دیپ‌فیک (Deepfake) و روش ClickFix برای هدف قرار دادن افراد فعال در بخش‌های ارز دیجیتال (Cryptocurrency)، Web3 و همچنین توسعه‌دهندگان نرم‌افزارهای متن‌باز (Open-source).
کمپین FaceStealer پیش از آنکه زیرساخت‌های ابری (Cloud-based infrastructure) آن توسط مقامات آمریکایی توقیف شود، به مدت ۱۸ ماه فعال بوده است. در جریان این عملیات، بیش از ۹۰۰ ویدئوی ضبط‌شده از وب‌کم کارشناسان حوزه فناوری که تحت تأثیر فریب قرار گرفته بودند، شناسایی شده است.
متدولوژی حمله و فریب قربانیان
عامل‌های تهدید (Threat Actors) با سوءاستفاده از حساب‌های کاربری در پلتفرم‌هایی مانند تلگرام (Telegram)، لینکدین (LinkedIn)، اسلک (Slack) و دیسکورد (Discord)، قربانیان را به جلسات ویدئویی تحت عناوین مختلف دعوت می‌کردند. در طول این تماس‌ها، مهاجم با نمایش ویدئوهای ضبط‌شده از افراد آشنای قربانی، اعتماد آن‌ها را جلب می‌کرد.
مهاجمان در حین انتظار برای شروع جلسه، از وب‌کم قربانی فیلم‌برداری می‌کردند تا از آن در مراحل بعدی حملات استفاده کنند. پس از آن، مهاجم با ادعای وجود یک مشکل فنی، یک پیام خطای جعلی نمایش می‌داد تا قربانی را متقاعد کند یک «اصلاحیه» (Fix) مخرب را اجرا کند. این اصلاحیه در واقع بدافزاری بود که اطلاعات ارز دیجیتال و اعتبارنامه‌های (Credentials) پلتفرم‌های جلسات ویدئویی مانند Zoom، Google Meet و Microsoft Teams را سرقت می‌کرد.
هدف قرار دادن زنجیره تأمین و توسعه‌دهندگان
تحقیقات نشان می‌دهد که این گروه علاوه بر مدیران ارشد، توسعه‌دهندگان اکوسیستم‌های npm و Rust را نیز هدف قرار داده‌اند. در یک مورد مشخص، مهاجمان موفق شدند نگهدارنده یک کتابخانه محبوب جاوااسکریپت (JavaScript) را که هفته‌ای ده‌ها میلیون دانلود داشت، از طریق یک جلسه جعلی در Microsoft Teams فریب دهند. اگرچه این حمله به دلیل شناسایی سریع خنثی شد، اما تلاش‌های مشابهی علیه توسعه‌دهندگان در زنجیره تأمین نرم‌افزار (Software Supply Chain) مشاهده شده است.
گروه BlueNoroff مسئول این حملات شناخته شده است که از روش‌های متنوعی از جمله اسناد مالی جعلی، به‌روزرسانی‌های جعلی PDF و درخواست‌های تأیید هویت برای سرایت (Infection) به سیستم‌ها استفاده می‌کند.
توصیه‌های امنیتی
- فقط از طریق اپلیکیشن‌های رسمی و با استفاده از کد دعوت در جلسات شرکت کنید.
- دعوت‌نامه‌های غیرمنتظره را به طور مستقل تأیید کنید.
- در صورت عدم نیاز، وب‌کم خود را خاموش نگه دارید.
- هرگز اسکریپت‌ها یا فایل‌هایی را که به عنوان «اصلاحیه فنی» ارائه می‌شوند، اجرا نکنید.
