Le ministère américain de la Justice a annoncé le 12 novembre avoir obtenu l'autorisation judiciaire de saisir ou de geler plus de 1,2 milliard de dollars de cryptomonnaies volées à Binance. Ce montant fait partie des plus de 2,7 milliards de dollars gelés grâce aux efforts conjugués des autorités et du secteur privé. Dans une action distincte, les autorités ont saisi l'infrastructure cloud utilisée par FaceStealer, un stratagème d'usurpation d'identité nord-coréen que le FBI estime responsable de plus de 400 millions de dollars de vols au cours des 18 derniers mois, et qui cible de plus en plus les développeurs de logiciels libres.
Ces annonces concernent deux opérations distinctes, aux conséquences différentes pour les équipes de sécurité. Les prestataires de services de cryptomonnaies sont invités à bloquer les transactions liées au vol chez Binance, tandis que les professionnels de la crypto et les mainteneurs de logiciels libres reçoivent des invitations à des visioconférences pouvant mener à l'installation de logiciels malveillants et au détournement de comptes.
Les efforts de récupération de Binance se poursuivent
Dans son annonce, le ministère de la Justice indique que des membres de l'armée nord-coréenne, suivis par le FBI sous le nom de TraderTraitor, ont dérobé plus de 6 milliards de dollars d'actifs virtuels à Binance vers le 29 octobre. SecurityWeek a rapporté que le vol s'élevait à environ 6,3 milliards de dollars et l'a décrit comme le plus important vol de cryptomonnaies de l'histoire.
Depuis, les autorités américaines travaillent avec des prestataires de services d'actifs virtuels, c'est-à-dire des entreprises qui gèrent des transferts de cryptomonnaies et des services connexes, afin d'intercepter les actifs volés. Les plus de 1,2 milliard de dollars couverts par l'autorisation judiciaire font partie des plus de 2,7 milliards de dollars déjà gelés, et non d'une récupération supplémentaire.
Le traçage et la récupération se poursuivent, car TraderTraitor fait circuler les actifs par des passerelles inter-blockchains (bridges), qui transfèrent des actifs d'un réseau blockchain à un autre, par des mixeurs, qui brouillent les traces des transactions, et par des plateformes d'échange. Le bureau du FBI à Los Angeles, la division Cyber et la Virtual Asset Unit coordonnent ces efforts avec le Secret Service américain et les enquêteurs criminels de l'Internal Revenue Service.
L'autorisation judiciaire de saisir ou de geler des actifs n'est qu'une étape de ce processus. SecurityWeek a expliqué que l'État dépose généralement une demande de confiscation, après quoi un juge détermine qui a un droit légitime sur les fonds récupérés.
FaceStealer transforme des contacts de confiance en leurres pour logiciels malveillants
L'action distincte contre FaceStealer a perturbé l'infrastructure cloud servant à usurper l'identité de contacts de confiance lors de visioconférences. Le ministère de la Justice attribue ce stratagème à des pirates nord-coréens connus publiquement sous plusieurs noms, dont Sapphire Sleet, UNC1069, Dangerous Password, CryptoCore, APT38, BlueNoroff et Stardust Chollima.
L'attaque commence par une invitation à une réunion envoyée depuis un compte dérobé à une victime précédente. Lorsque la nouvelle cible rejoint l'appel, les attaquants enregistrent le flux de sa webcam et diffusent des enregistrements de victimes précédentes que la cible connaît. Le but est de faire apparaître des personnes familières comme participantes à l'appel.
Le ministère indique aussi que les attaquants utilisent ce qu'il appelle « super-intelligence » pour créer des deepfakes, c'est-à-dire des vidéos de synthèse imitant de vraies personnes, notamment des personnalités influentes issues du secteur des cryptomonnaies et du Web3. Ces vidéos offrent un autre moyen de rendre la réunion crédible.
Une fois que la cible fait confiance à l'appel, les attaquants invoquent un prétendu problème technique. Par exemple, ils peuvent affirmer que le micro de la cible ne fonctionne pas, puis proposer un lien ou une invite pour le réparer. Cette prétendue réparation installe en secret un logiciel malveillant sur l'ordinateur de la cible.
L'accès à l'appareil peut ensuite permettre de voler des cryptomonnaies ou d'exploiter l'accès de la victime à d'autres systèmes. Les conséquences peuvent être différées : dans plusieurs cas signalés, les attaquants ont dérobé des cryptomonnaies et détourné des comptes de messagerie plusieurs mois, voire plus d'un an, après la compromission initiale.
Les attaquants accèdent également aux listes de contacts, aux réseaux sociaux et aux applications de communication des victimes, et utilisent ces relations pour approcher d'autres contacts personnels et professionnels. En vertu d'un mandat fédéral, le FBI a saisi plus de 900 vidéos de webcam de victimes de FaceStealer. Ce chiffre compte des vidéos et non des personnes touchées.
Les mainteneurs de logiciels sont aussi visés
Au-delà des professionnels de la crypto et du Web3, FaceStealer cible de plus en plus les personnes qui développent et maintiennent des logiciels libres. Le ministère de la Justice indique que les attaquants ont tenté de compromettre leurs appareils et les comptes des dépôts de logiciels qu'ils contrôlent. Selon lui, ce ciblage semble destiné à permettre des attaques sur la chaîne d'approvisionnement logicielle, dans lesquelles un logiciel de confiance ou son processus de développement devient un moyen d'atteindre d'autres systèmes.
Les responsables américains attribuent ces deux opérations aux efforts de la Corée du Nord pour financer son gouvernement et son programme d'armement illicite. La saisie de l'infrastructure a été menée par le bureau du procureur des États-Unis pour le district central de Californie et par le bureau du FBI à Los Angeles.
Pour les prestataires de services de cryptomonnaies, la mesure immédiate découle d'une alerte cyber publiée la semaine précédente par le FBI, avec le Secret Service et les enquêteurs criminels de l'IRS : bloquer les transactions avec les adresses de cryptomonnaies identifiées comme servant à blanchir les actifs volés à Binance, ou provenant de ces adresses.
Pour les personnes exposées à FaceStealer, le FBI a publié un rapport détaillant le fonctionnement de l'attaque, les pratiques de protection et les mesures à prendre pour les victimes après une compromission. Il a également mis en place un centre de ressources pour réunir les informations sur ce stratagème.
