Nordkoreanische Hacker erbeuten 400 Millionen Dollar mit gefälschten Zoom-Calls

Das Gesicht auf der anderen Seite des Videoanrufs gehörte einem Freund, einem Kollegen oder einem Investor, den das Opfer bereits kannte. Doch es handelte sich um eine Aufzeichnung. Nordkoreanische Hacker locken Menschen laut FBI in nachgeahmte Zoom- und Teams-Meetings, spielen heimlich von früheren Opfern aufgenommene Webcam-Videos ab und überreden ihr neues Ziel anschließend, eine Schadsoftware zu installieren, die als schnelle technische Lösung getarnt ist.

Das FBI nennt die Masche FaceStealer. Dabei wird ein ganz gewöhnlicher Moment der Arbeit im Homeoffice zum eigentlichen Angriff. Die Einladung kommt von einem echten Konto einer Person, der man vertraut, das Meeting sieht aus wie die App, die man täglich nutzt, und die Person, die einen erwartet, scheint genau die zu sein, mit der man gerechnet hat. Laut FBI kann die Täuschung selbst erfahrene und sicherheitsbewusste Nutzer hereinlegen.

Das Ausmaß ist beträchtlich. In einer Warnung an die Kryptowährungsbranche und an Maintainer von Open-Source-Software erklärt das FBI, die Hacker hätten mit der Masche in den vergangenen 18 Monaten Kryptowährungen im Wert von mehr als 400 Millionen Dollar gestohlen. Ermittler beschlagnahmten die dahinterstehende Cloud-Infrastruktur sowie mehr als 900 Webcam-Videos von Menschen aus der Krypto- und Web3-Branche auf der ganzen Welt. Die Hacker hatten die Aufnahmen als Materialsammlung aufbewahrt, um sich bei späteren Angriffen als diese Personen auszugeben.

Jeder Angriff beginnt mit jemandem, dessen Konto bereits gehackt wurde. Die Angreifer übernehmen Telegram oder eine andere Messaging-App dieser Person, lesen den Chatverlauf und schreiben deren Kontakten mit maßgeschneiderten Einladungen: Sie schlagen vor, sich auszutauschen, über eine Zusammenarbeit zu sprechen oder eine Investition zu besprechen. Darauf folgt eine Calendly-Einladung, oft ohne Meeting-Link. Der Link kommt erst kurz vor dem Anruf und führt zu einer täuschend echt aussehenden Adresse, auf der sich eine von den Hackern kontrollierte Kopie von Zoom oder Teams öffnet. Dort sieht das Ziel den vertrauten Kontakt, oft zusammen mit mehreren weiteren Teilnehmern – allesamt vorab aufgezeichnet.

Dann folgt der Trick. Eine Nachricht des gefälschten Kontakts behauptet, man könne das Ziel nicht hören, und verweist auf ein Update, ein auszuführendes Skript oder eine Codezeile, die ins Terminal eingefügt werden soll. Die vermeintliche Lösung installiert ein Programm zum Abgreifen von Browser-Cookies, einen Keylogger, einen Bildschirmrekorder und eine Hintertür. Seit dem Klick auf den Link zeichnen die Hacker die Webcam des Opfers auf. So wird das neue Opfer zum Gesicht, mit dem sie das nächste in die Falle locken. „Wenn Sie sich kein Szenario vorstellen können, in dem Sie darauf hereinfallen könnten, denken Sie nicht kreativ genug“, sagte Patrick Grandy, der die FBI-Außenstelle in Los Angeles leitet.

Die Gefahr reicht weit über Krypto-Wallets hinaus. Laut FBI zielt dieselbe Methode auch auf Menschen, die weit verbreiteten Open-Source-Code betreuen. In einem Fall nahm der Maintainer einer großen JavaScript-Bibliothek, die wöchentlich zig Millionen Mal heruntergeladen wird, an einem gefälschten Teams-Anruf mit einer Person teil, die er wiedererkannte. Er befolgte den vorgeschlagenen Lösungsschritt und infizierte so seinen Computer. Anschließend nutzten die Hacker seinen Zugang, um schädliche Abhängigkeiten in die Downloads der Bibliothek einzuschleusen, bevor der Angriff entdeckt wurde. Das FBI erklärt, weitere Versuche hätten sich gegen Maintainer auf npm, der wichtigsten Paketregistrierung für JavaScript, und zuletzt gegen Rust-Entwickler gerichtet. Ein einziger getäuschter Maintainer kann Schadsoftware Millionen Menschen zugänglich machen, die an keinem dieser Anrufe teilgenommen haben.

Künstliche Intelligenz spielt eine Rolle, allerdings eine geringere, als Schlagzeilen über Deepfakes vermuten lassen könnten. Laut FBI hat die Gruppe damit begonnen, Deepfake-Videos prominenter Persönlichkeiten aus der Kryptobranche zu erstellen, die lediglich wie körnige Webcam-Aufnahmen wirken müssen. Die Masche stützt sich jedoch weiterhin überwiegend auf echte Videos, die echten Opfern gestohlen wurden. Ein Deepfake-Detektor würde deshalb die meisten dieser Anrufe nicht erkennen.

Mit der Zerschlagung sind längst nicht alle Fragen geklärt. Server lassen sich ersetzen, und die Verantwortlichen der Masche – laut FBI die nordkoreanische staatliche Hackergruppe BlueNoroff, auch bekannt als APT38 oder Sapphire Sleet – operieren von Nordkorea aus, außerhalb der Reichweite US-amerikanischer Gerichte. Das FBI hat nicht mitgeteilt, wie viele der in den 900 Videos gezeigten Menschen Geld verloren haben. In mehreren Fällen warteten die Hacker Monate, manchmal mehr als ein Jahr, bevor sie eine Wallet leerten. Sie hielten sich zurück, bis deren Guthaben gewachsen war. Deshalb wissen manche Opfer möglicherweise noch gar nicht, dass ihr Computer kompromittiert wurde.

Die Empfehlungen des FBI sind konkret. Nehmen Sie an Meetings über die offizielle Zoom- oder Teams-App teil und verwenden Sie dafür einen Einladungscode statt eines Weblinks – besonders bei neuen oder seltenen Kontakten. Lassen Sie die Kamera ausgeschaltet, bis Sie die Person, die Sie eingeladen hat, sehen, hören und mit ihr sprechen können. Führen Sie niemals ein Skript aus und fügen Sie keinen Code ins Terminal ein, um ein Anrufproblem zu beheben. Seien Sie misstrauisch, wenn eine Kalendereinladung ohne Meeting-Link eintrifft und der Link erst wenige Minuten vor Beginn folgt, und bestätigen Sie das Meeting über einen anderen Kommunikationsweg. Aktivieren Sie die Multifaktor-Authentifizierung und Anmeldebenachrichtigungen und schalten Sie in Telegram, WhatsApp und Slack selbstlöschende Nachrichten ein.

Das FBI veröffentlichte seine FaceStealer-Warnung am 12. November – am selben Tag, an dem das Justizministerium die Beschlagnahmung bekannt gab. Das Ministerium erklärte außerdem, ein Gericht habe die Beschlagnahmung oder Sperrung von Kryptowährungen im Wert von mehr als 1,2 Milliarden Dollar genehmigt. Nordkoreanische Hacker hatten diese Ende Oktober von der Kryptobörse Binance gestohlen. Bislang seien Vermögenswerte im Wert von mehr als 2,7 Milliarden Dollar eingefroren worden; die Bemühungen, den Rest zurückzuholen, gingen weiter. Das FBI hat eine eigene FaceStealer-Seite mit Hinweisen für alle eingerichtet, die glauben, ins Visier geraten zu sein.

Schlagwörter: Cybersicherheit, deepfakes, FBI, Nordkorea, Zoom, FaceStealer