США сорвали кампанию FaceStealer, связанную с северокорейскими хакерами и кражей $400 млн в криптовалюте

Американские власти нарушили работу кампании FaceStealer, которую связывают с Северной Кореей. По данным источника, атаки были направлены на людей из сферы криптовалют и Web3, а также на разработчиков открытого ПО. Для обмана использовались дипфейки и техника ClickFix. Кампания работала 18 месяцев, пока США не изъяли лежавшую в её основе облачную инфраструктуру.

В ходе расследования власти нашли более 900 записей с веббилиокамер, которые злоумышленники тайно сделали с технических специалистов.

Как работала схема

Хакеры взламывали аккаунты в Telegram, LinkedIn, Slack и Discord и приглашали жертв на видеовстречи под разными предлогами. Во время звонка злоумышленник показывал записи знакомых жертвам людей, которые уже попали в ловушку. Записи тайно делались во время ожидания начала встречи и потом использовались против других целей.

Затем хакер ссылался на техническую проблему и показывал поддельное сообщение об ошибке. Жертве предлагали перейти по ссылке с «исправлением», например обновлением или установщиком. На деле это было вредоносное ПО, которое крало криптоданные и учётные данные для Zoom, Google Meet и Microsoft Teams, а также получало доступ к контактам, соцсетям, мессенджерам и веббилиокамере. По данным ФБР, атаки иногда откладывались на месяцы или больше года после первого взлома, вероятно, в ожидании роста криптовалютных активов жертвы.

Атрибуция и масштаб

Исследователи ArticWolf связали FaceStealer с хакерской группой BlueNoroff и выявили 677 целей в 58 странах, в основном основателей компаний и руководителей. Среди приманок были финансовые документы, поддельные обновления PDF-просмотрщика, запросы на верификацию личности и проверки безопасности.

ФБР также описало случай, когда хакеры скомпрометировали мейнтейнера популярной библиотеки JavaScript с десятками миллионов загрузок в неделю. Атака была остановлена благодаря быстрому обнаружению. Власти подтвердили и другие попытки атаковать разработчиков в экосистемах npm и Rust crate. Отдельно Amazon в отчёте за июль 2026 года связал несколько атак на цепочки поставок открытого ПО с BlueNoroff.

Отдельно: заморозка средств Binance

Ministerство юстиции США сообщило, что вместе с частными компаниями правительство заморозило более $2,7 млрд из 6,4 млрд, украденных при взломе Binance. Министерство уже получило судебное разрешение на изъятие или блокировку более $1,2 млрд из этой суммы.

Пользователям рекомендуют входить на встречи только через официальные приложения по коду приглашения, самостоятельно проверять неожиданные приглашения, держать веб-камеру выключенной без необходимости и не запускать скрипты, предложенные как «исправление».