Hackers de Corea del Norte robaron 400 millones de dólares con falsas videollamadas de Zoom

La cara que aparecía al otro lado de la videollamada era la de un amigo, un compañero de trabajo o un inversor al que la víctima ya conocía. Pero era una grabación. Según el FBI, unos hackers norcoreanos han atraído a sus víctimas a reuniones falsas de Zoom y Teams, reproduciendo imágenes de webcam grabadas en secreto a víctimas anteriores y convenciendo después a los nuevos objetivos para que instalen malware camuflado como una solución técnica rápida.

El FBI llama a esta campaña FaceStealer, que convierte uno de los momentos más rutinarios del trabajo a distancia en el propio ataque. La invitación llega desde una cuenta real de alguien de confianza, la reunión parece celebrarse en la aplicación que usas a diario y la persona que te espera parece ser exactamente quien esperabas. El FBI asegura que puede engañar incluso a usuarios con experiencia y muy concienciados con la seguridad.

La escala es considerable. En una alerta dirigida al sector de las criptomonedas y a los mantenedores de software de código abierto, el FBI afirma que la campaña ha robado más de 400 millones de dólares en criptomonedas durante los últimos 18 meses. Los investigadores se incautaron de la infraestructura en la nube que había detrás, además de más de 900 vídeos de webcam de víctimas de todo el mundo que trabajaban en el ámbito de las criptomonedas y la Web3. Los hackers los guardaban en una especie de biblioteca para suplantar su identidad en ataques posteriores.

Cada ataque empieza con alguien que ya ha sido hackeado. Los atacantes se hacen con el control de la cuenta de Telegram de esa persona o de otra aplicación de mensajería, leen el historial de chats y escriben a sus contactos con invitaciones personalizadas para ponerse al día, hablar de una colaboración o comentar una inversión. Después envían una invitación de Calendly, a menudo sin enlace a la reunión. El enlace llega poco antes de la llamada y dirige a una dirección que imita a la original, donde se abre una copia de Zoom o Teams controlada por los hackers. Dentro, la víctima ve a su contacto habitual, a menudo junto a varios participantes más, todos ellos grabados.

Entonces llega el engaño. Un mensaje del contacto falso dice que no se oye a la víctima y le indica que instale una actualización, ejecute un script o pegue una línea de código en el terminal. Esa solución instala un programa que roba las cookies del navegador, un registrador de pulsaciones, una herramienta para capturar la pantalla y una puerta trasera. Los hackers graban la webcam de la víctima desde el momento en que hace clic en el enlace, de modo que la nueva víctima se convierte en la cara que atraerá a la siguiente. «Si no eres capaz de imaginar una situación en la que podrías caer en la trampa, es que no estás siendo lo bastante imaginativo», dijo Patrick Grandy, director de la oficina del FBI en Los Ángeles.

El riesgo va mucho más allá de los monederos de criptomonedas. El FBI afirma que la misma técnica se ha utilizado contra personas que mantienen código abierto de uso generalizado. En un caso, el responsable de una importante biblioteca de JavaScript, descargada decenas de millones de veces cada semana, se unió a una falsa llamada de Teams con alguien a quien reconoció, siguió las instrucciones para solucionar el supuesto problema e infectó su ordenador. Después, los hackers aprovecharon su acceso para introducir dependencias maliciosas en las descargas de la biblioteca, antes de que se detectara la intrusión. El FBI dice que también han intentado atacar a mantenedores en npm, el principal registro de paquetes de JavaScript, y, más recientemente, a desarrolladores de Rust. Un solo mantenedor engañado puede poner malware al alcance de millones de personas que nunca participaron en una llamada.

La inteligencia artificial también interviene, aunque menos de lo que podrían sugerir los titulares sobre los deepfakes. El FBI afirma que el grupo ha empezado a generar vídeos deepfake de figuras destacadas del mundo de las criptomonedas, que solo tienen que pasar por imágenes granuladas de webcam. Sin embargo, la campaña sigue dependiendo, con mucha diferencia, de vídeos reales robados a víctimas reales, lo que significa que un detector de deepfakes no identificaría la mayoría de estas llamadas.

La operación también deja muchas incógnitas sin resolver. Los servidores pueden sustituirse y los responsables de la campaña, que el FBI atribuye al grupo de hackers norcoreano vinculado al Estado conocido como BlueNoroff, APT38 o Sapphire Sleet, operan desde Corea del Norte, lejos del alcance de los tribunales estadounidenses. El FBI no ha dicho cuántas de las personas que aparecen en los 900 vídeos perdieron dinero. En varios casos, los hackers esperaron meses, a veces más de un año, antes de vaciar un monedero, dejando que su saldo aumentara; por eso, es posible que algunas víctimas aún no sepan que su ordenador está comprometido.

Las recomendaciones del FBI son concretas. Únete a las reuniones desde la aplicación oficial de Zoom o Teams con un código de invitación, en lugar de hacerlo mediante un enlace web, sobre todo si procede de un contacto nuevo o poco habitual. Mantén la cámara apagada hasta que puedas ver, oír y hablar con la persona que te ha invitado. No ejecutes nunca un script ni pegues código en un terminal para solucionar un problema con una llamada. Desconfía si recibes una invitación de calendario sin enlace a la reunión y este aparece pocos minutos antes de que empiece; confirma la reunión por otro canal. Activa la autenticación multifactor, las alertas de inicio de sesión y los mensajes que desaparecen en Telegram, WhatsApp y Slack.

El FBI publicó su alerta sobre FaceStealer el 12 de noviembre, el mismo día en que el Departamento de Justicia anunció la incautación. El departamento también dijo que cuenta con autorización judicial para incautar o inmovilizar más de 1.200 millones de dólares en criptomonedas robadas por hackers norcoreanos a la plataforma Binance a finales de octubre, de los más de 2.700 millones congelados hasta ahora, y que sigue trabajando para recuperar el resto. El FBI ha creado una página específica sobre FaceStealer con recomendaciones para quienes crean haber sido víctimas de un ataque.

Etiquetas: ciberseguridad, corea del norte, deepfakes, fbi, Zoom, FaceStealer