Hackers norte-coreanos roubaram 400 milhões de dólares com falsas videochamadas Zoom

Do outro lado da videochamada, o rosto era de um amigo, de um colega ou de um investidor que a vítima já conhecia. Mas era uma gravação. Segundo o FBI, hackers norte-coreanos têm atraído pessoas para reuniões falsas no Zoom e no Teams, reproduzindo imagens de webcam captadas secretamente de vítimas anteriores e convencendo depois os novos alvos a instalar malware disfarçado de solução técnica rápida.

O FBI chama FaceStealer a este esquema, que transforma um dos momentos mais banais do trabalho à distância no próprio ataque. O convite chega de uma conta verdadeira, pertencente a alguém em quem a vítima confia; a reunião parece decorrer na aplicação que usa todos os dias; e a pessoa que a espera parece ser exatamente quem se esperava. Segundo o FBI, o esquema consegue enganar até utilizadores experientes e atentos à segurança.

A dimensão é considerável. Num alerta dirigido ao setor das criptomoedas e aos responsáveis pela manutenção de software de código aberto, o FBI afirma que o esquema roubou mais de 400 milhões de dólares em criptomoedas nos últimos 18 meses. Os investigadores apreenderam a infraestrutura na nuvem que o sustentava, bem como mais de 900 vídeos de webcam de vítimas de todo o mundo a trabalhar nos setores das criptomoedas e da Web3. Os hackers guardavam-nos numa espécie de biblioteca para se fazerem passar por essas pessoas em ataques posteriores.

Cada ataque começa com alguém que já foi pirateado. Os atacantes tomam conta da conta de Telegram dessa pessoa ou de outra aplicação de mensagens, leem o histórico das conversas e contactam os seus conhecidos com convites personalizados para pôr a conversa em dia, discutir uma colaboração ou falar de um investimento. Segue-se um convite do Calendly, muitas vezes sem ligação para a reunião. A ligação só chega pouco antes da chamada e aponta para um endereço semelhante ao verdadeiro, que abre uma cópia do Zoom ou do Teams controlada pelos hackers. Lá dentro, a vítima vê o contacto familiar, muitas vezes acompanhado por vários outros participantes — todos em gravações.

É então que surge o truque. Uma mensagem do falso contacto diz que não consegue ouvir a vítima e indica-lhe uma atualização, um script para executar ou uma linha de código para colar no terminal. Essa suposta solução instala um programa para roubar cookies do navegador, um keylogger, um capturador de ecrã e uma porta traseira. Os hackers estão a gravar a webcam da vítima desde o momento em que esta clicou na ligação, pelo que a nova vítima passa a ser o rosto usado para atrair a seguinte. «Se não consegue imaginar uma situação em que poderia cair nesta armadilha, não está a pensar de forma suficientemente criativa», afirmou Patrick Grandy, que dirige o escritório do FBI em Los Angeles.

O risco vai muito além das carteiras de criptomoedas. Segundo o FBI, a mesma técnica tem sido usada contra pessoas que mantêm código aberto amplamente utilizado. Num dos casos, o responsável pela manutenção de uma importante biblioteca JavaScript, descarregada dezenas de milhões de vezes por semana, entrou numa falsa chamada do Teams com alguém que reconheceu, seguiu a solução sugerida e infetou o computador. Os hackers usaram depois o acesso para introduzir dependências maliciosas nos downloads da biblioteca, antes de a intrusão ser detetada. O FBI afirma que também foram visados responsáveis pela manutenção de projetos no npm, o principal registo de pacotes JavaScript, e, mais recentemente, programadores de Rust. Basta enganar uma pessoa responsável pela manutenção para colocar malware à frente de milhões de pessoas que nunca participaram numa chamada.

A inteligência artificial também tem um papel, embora menos importante do que as manchetes sobre deepfakes poderiam fazer crer. Segundo o FBI, o grupo começou a gerar vídeos deepfake de figuras proeminentes do mundo das criptomoedas, que só precisam de parecer imagens granuladas de uma webcam. Ainda assim, o esquema continua a depender esmagadoramente de vídeos reais roubados a vítimas reais, o que significa que um detetor de deepfakes não identificaria a maioria destas chamadas.

A operação também deixa muitas questões por resolver. Os servidores podem ser substituídos e as pessoas por detrás do esquema — atribuído pelo FBI ao grupo de piratas informáticos ligado ao Estado norte-coreano conhecido como BlueNoroff, APT38 ou Sapphire Sleet — operam a partir da Coreia do Norte, longe do alcance dos tribunais norte-americanos. O FBI não revelou quantas das pessoas que aparecem nos 900 vídeos perderam dinheiro. E, em vários casos, os hackers esperaram meses, por vezes mais de um ano, antes de esvaziarem uma carteira, aguardando que o saldo aumentasse; por isso, algumas vítimas podem ainda não saber que o computador está comprometido.

As recomendações do FBI são concretas. Entre nas reuniões através da aplicação oficial do Zoom ou do Teams, usando um código de convite em vez de uma ligação na Internet, sobretudo quando o contacto é novo ou pouco frequente. Mantenha a câmara desligada até conseguir ver, ouvir e falar com a pessoa que o convidou. Nunca execute um script nem cole código num terminal para resolver um problema numa chamada. Desconfie de convites de calendário sem ligação para a reunião, sobretudo quando esta só chega minutos antes do início, e confirme a reunião através de outro canal. Ative a autenticação multifator, os alertas de início de sessão e as mensagens temporárias no Telegram, no WhatsApp e no Slack.

O FBI publicou o alerta sobre o FaceStealer a 12 de novembro, no mesmo dia em que o Departamento de Justiça anunciou a apreensão. O departamento informou também que tem autorização judicial para apreender ou congelar mais de 1,2 mil milhões de dólares em criptomoedas roubadas por hackers norte-coreanos à plataforma Binance no final de outubro. Até agora, foram congelados mais de 2,7 mil milhões de dólares, e os esforços para recuperar o restante continuam. O FBI criou uma página específica sobre o FaceStealer, com recomendações para quem suspeite ter sido alvo do esquema.

Etiquetas: cibersegurança, deepfakes, Coreia do Norte, FBI, Zoom, FaceStealer