北韓駭客用偷錄的視訊畫面和假Zoom會議盜走4億美元

視訊通話另一端的人，可能是目標熟識的朋友、同事或投資人。但那其實是錄影。根據 FBI 的說法，北韓駭客誘騙民眾加入仿冒的 Zoom 和 Teams 會議，播放先前受害者遭暗中拍攝的網路攝影機影像，再說服新目標安裝偽裝成快速技術修復工具的惡意軟體。

FBI 將這項騙局稱為 FaceStealer，讓遠距工作中最平常不過的時刻，反過來成為攻擊本身。邀請來自你信任之人的真實帳號，會議看起來就像你每天使用的應用程式，等著你的人也像是你原本預期會見到的那個人。FBI 表示，即使是經驗豐富、注重資安的使用者，也可能受騙。

這起攻擊的規模相當龐大。FBI 在一份發給加密貨幣業界及開源軟體維護者的警示中表示，過去 18 個月，這項騙局已竊取超過 4 億美元的加密貨幣。調查人員查扣了背後的雲端基礎設施，以及 900 多段網路攝影機影片；影片中的受害者來自世界各地，從事加密貨幣和 Web3 工作。駭客將這些影片保留成資料庫，以便在後續攻擊中冒充受害者。

每次攻擊都從一名已遭駭的受害者開始。攻擊者接管對方的 Telegram 或其他通訊應用程式，讀取聊天紀錄，再向其聯絡人傳送量身打造的邀請，藉口可能是敘舊、討論合作或聊聊投資。接著會收到 Calendly 邀請，通常沒有會議連結。直到通話開始前不久，連結才會送達，並導向一個仿冒網址，開啟由駭客控制的 Zoom 或 Teams 複製頁面。目標進入後，會看到熟悉的聯絡人，通常還有其他幾名與會者，而所有人都是預先錄製的影像。

接著就是陷阱。假冒聯絡人會傳訊息說聽不到目標的聲音，並指示對方安裝更新、執行指令碼，或將一行程式碼貼進終端機。這項「修復」會安裝瀏覽器 Cookie 竊取工具、鍵盤側錄程式、螢幕擷取程式及後門。從目標點擊連結的那一刻起，駭客就開始錄下其網路攝影機畫面，因此新受害者也會成為誘騙下一人的面孔。「如果你想像不出自己可能落入這種陷阱的情境，那就代表你的想像力還不夠豐富。」負責 FBI 洛杉磯辦事處的派翠克·格蘭迪（Patrick Grandy）說。

風險遠不只涉及加密貨幣錢包。FBI 表示，同一套手法也被用來攻擊維護廣泛使用開源程式碼的人。其中一起案例裡，一名大型 JavaScript 程式庫的維護者加入了與熟人進行的假 Teams 通話，並依照對方建議的修復方式操作，結果讓自己的電腦遭到感染。這套程式庫每週下載量達數千萬次。駭客隨後利用他的權限，在程式庫的下載內容中植入惡意相依套件，直到入侵行動被發現才告終。FBI 表示，其他攻擊也鎖定 npm（主要的 JavaScript 套件登錄庫）上的維護者，近期更瞄準 Rust 開發者。一名維護者受騙，就可能讓數百萬名從未參加過任何通話的人接觸到惡意軟體。

人工智慧也參與其中，不過程度遠不如深偽技術相關新聞標題可能讓人以為的那麼高。FBI 表示，這個組織已開始生成加密貨幣界知名人士的深偽影片，只要看起來像模糊的網路攝影機影像就足以騙過人。然而，這項騙局仍絕大多數依賴從真實受害者竊取的真實影片，因此深偽偵測工具無法識破大多數這類通話。

這次查扣行動也有許多問題尚未解決。伺服器可以重新架設，而 FBI 將這個騙局歸因於一個名為 BlueNoroff、APT38 或 Sapphire Sleet 的北韓政府駭客組織；其成員在北韓活動，遠離美國法院的管轄範圍。FBI 尚未說明 900 段影片中的受害者有多少人蒙受金錢損失。幾起案例中，駭客等了好幾個月，有時甚至超過一年，才清空受害者的錢包；他們會先觀望，等錢包餘額增加，因此有些受害者可能還不知道自己的電腦已遭入侵。

FBI 提供的建議十分具體。加入會議時，應使用官方 Zoom 或 Teams 應用程式，輸入邀請碼，而非點擊網頁連結；尤其要留意來自新認識或不常聯絡對象的邀請。在確認看見、聽見並能與邀請你的人交談之前，請關閉攝影機。絕不要為了修復通話而執行指令碼，或將程式碼貼進終端機。若收到沒有會議連結的行事曆邀請，而連結又在會議開始前幾分鐘才出現，就應提高警覺，並透過其他管道確認會議資訊。在 Telegram、WhatsApp 和 Slack 開啟多重因素驗證、登入通知及訊息自動消失功能。

FBI 於 11 月 12 日發布 FaceStealer 警示，司法部也在同一天宣布查扣行動。司法部另表示，已取得法院許可，可查扣或限制超過 12 億美元的加密貨幣；這些貨幣是北韓駭客 10 月下旬從 Binance 交易所竊取的，而截至目前，遭凍結的加密貨幣總額已超過 27 億美元，當局仍在設法追回其餘款項。FBI 已設立專門的 FaceStealer 網頁，提供相關指引給任何認為自己可能成為攻擊目標的人。

標籤: 資訊安全, 深度偽造, FBI, Zoom, 北韓, FaceStealer