Adalet Bakanlığı ve FBI, Kuzey Kore siber aktörlerinin FaceStealer adlı sosyal mühendislik şemasında kullandığı bulut altyapısını ele geçirdi: sahte Zoom, Teams ve Meet sayfalarıyla kurulmuş görüntülü görüşmelerde önceki kurbanların kaydedilmiş görüntüleri ve deepfake videolar oynatılarak güven kazanılıyor, ardından sözde 'ses sorunu düzeltmesi' malware kuruyor. FBI'a göre şema 18 ayda 400 milyon doları aşan kripto çaldırdı; operasyonda 900'den fazla kurbanın gizlice kaydedilmiş kamera görüntüsü ele geçirildi. Örgütün yeni hedefi açık kaynak yazılım geliştiricileri — amaç tedarik zinciri saldırıları.
ABD makamları, Kuzey Kore’nin kripto hırsızlığı ekosistemine yönelik eşgüdümlü bir vuruş duyurdu: Kaliforniya Merkez Adli Bölge savcılığı, FaceStealer adlı sosyal mühendislik şemasının bulut altyapısını federal warrant ile ele geçirdiklerini; ayrıca Binance borsasından çalınan 1,2 milyar dolar değerindeki kriptonun mahkeme onaylı el koyma ve dondurma sürecine alındığını açıkladı. FBI’ın adlandırdığı FaceStealer, son 18 ayda 400 milyon doları aşan kripto hırsızlığına yol açmış durumda.
Şemanın mekaniği insan güvenini hedefliyor. Sapphire Sleet, BlueNoroff, APT38, Stardust Chollima gibi adlarla bilinen Kuzey Kore aktörleri, önceki kurbanlardan çalınmış hesaplardan hedeflere görüntülü toplantı davetleri gönderiyor. Hedef sahte ya da birebir taklit Zoom, Microsoft Teams ve Google Meet sayfalarında ‘toplantıya’ katıldığında, saldırganlar hedefin kendi kamera görüntüsünü gizlice kaydediyor ve tanıdığı önceki kurbanların önceden kaydedilmiş videolarını — yer yer tanınmış kişilerin deepfake’lerini — oynatarak toplantıyı ‘gerçek’ gösteriyor. Ardından kasıtlı bir ‘ses duyulmuyor’ hatası sahneleniyor ve hedefe hatayı ‘düzeltmesi’ için bir bağlantı veriliyor: bağlantı, bilgisayara gizlice malware yüklüyor. FBI, kurbanların bazılarında ilk ele geçirmeden aylar, hatta bir yıldan uzun süre sonra kripto çalındığını ve iletişim hesaplarının devralındığını; iletişim listeleri, sosyal medya ve mesajlaşma uygulamalarının bir sonraki hedefler için tarandığını aktarıyor.
Operasyonun en çarpıcı yan ürünü ele geçirilen dijital kanıt: FBI, bulut altyapısından 900’den fazla FaceStealer kurbanının gizlice kaydedilmiş kamera görüntüsünü çekti. Kurban profili sektör odaklı: kripto ve Web3 çalışanları; buna eklenen yeni hedef kitse açık kaynak yazılım geliştiricileri ve bakımcıları — amaç, cihazlarına ve yazılım deposu hesaplarına erişerek tedarik zinciri saldırısı gerçekleştirmek. FBI raporu, milyonlarca aşağı-akış kullanıcıyı etkileyebilecek bu vektörün alarma geçme sebebini açıklıyor. Bağlam da büyüyor: duyuru, Binance’in sahte iş görüşmeleriyle 6,3 milyar dolar çaldırıldığını açıklamasının bir hafta ardından geldi — ABD makamları o olayı da Kuzey Kore bağlantılı aktörlere atfetti, Pyongyang ise iddiayı reddetti.
FBI’ın mesajı teknik değil insani: ‘Bu şemaya kurban gidebileceğinizi hayal bile edemiyorsanız, yeterince yaratıcı düşünmüyorsunuz.’ Kurumsal öneriler bilinen formül — davetiyenin kaynağını ikinci kanaldan doğrulama, tanıdık yüz görmenin kimlik kanıtı sayılmaması, toplantı öncesi yazılı doğrulama ve şüpheli ‘düzeltme’ bağlantılarına dokunmama. İzlenecek kapılar: ele geçirilen altyapının kalan hücreleri, açık kaynak deposu hesaplarında artan devralma dalgası ve Binance varlıklarının iade süreci.