Kuzey Koreli hackerlar sahte Zoom görüşmeleriyle 400 milyon dolar çaldı

Görüntülü görüşmenin diğer ucundaki kişi, hedefin önceden tanıdığı bir arkadaşı, iş arkadaşı ya da yatırımcıydı. Ama görüntü kayıtlıydı. FBI’a göre Kuzey Koreli bilgisayar korsanları, insanları sahte Zoom ve Teams toplantılarına çekiyor, daha önceki kurbanlardan gizlice kaydettikleri kamera görüntülerini oynatıyor ve ardından yeni hedefi, hızlı bir teknik çözüm gibi gösterilen kötü amaçlı yazılımı yüklemeye ikna ediyor.

FBI bu yönteme FaceStealer adını veriyor. Böylece uzaktan çalışmanın en sıradan anı, saldırının kendisine dönüşüyor. Davet, güvendiğiniz birine ait gerçek bir hesaptan geliyor; toplantı her gün kullandığınız uygulamaya benziyor ve sizi bekleyen kişi, tam da beklediğiniz kişi gibi görünüyor. FBI, yöntemin güvenlik konusunda bilinçli ve deneyimli kullanıcıları bile kandırabildiğini söylüyor.

Saldırının boyutu büyük. FBI, kripto para sektörü ve açık kaynaklı yazılımların bakımını yapanlar için yayımladığı uyarıda, bu yöntemle son 18 ayda 400 milyon dolardan fazla kripto para çalındığını belirtiyor. Soruşturmacılar, saldırının arkasındaki bulut altyapısını ve dünyanın dört bir yanında kripto ve Web3 alanında çalışan kurbanlara ait 900’den fazla kamera videosunu ele geçirdi. Bilgisayar korsanları, sonraki saldırılarda bu kişileri taklit etmek için videoları bir arşivde tutuyordu.

Her saldırı, daha önce saldırıya uğramış biriyle başlıyor. Saldırganlar bu kişinin Telegram hesabını ya da başka bir mesajlaşma uygulamasını ele geçiriyor, sohbet geçmişini okuyup bağlantılarına özel olarak hazırlanmış mesajlar gönderiyor; bu mesajlarda yeniden görüşmeyi, iş birliğini ya da bir yatırımı konuşmayı öneriyorlar. Ardından, çoğu zaman toplantı bağlantısı içermeyen bir Calendly daveti geliyor. Bağlantı, görüşmeden kısa süre önce gönderiliyor ve bilgisayar korsanlarının kontrolündeki sahte bir Zoom ya da Teams kopyasını açıyor. Hedef, içeride tanıdığı kişiyi ve çoğu zaman birkaç katılımcıyı görüyor; hepsi önceden kaydedilmiş görüntüler.

Sonra tuzak devreye giriyor. Sahte kişiden gelen bir mesajda hedefin sesinin duyulmadığı söyleniyor ve bir güncelleme yüklemesi, bir komut dosyası çalıştırması ya da terminale bir satır kod yapıştırması isteniyor. Bu “çözüm”, tarayıcı çerezlerini toplayan bir yazılım, tuş kaydedici, ekran kaydedici ve arka kapı yüklüyor. Bilgisayar korsanları, bağlantıya tıklandığı andan itibaren hedefin kamera görüntüsünü kaydediyor; böylece yeni kurban, sıradaki kişiyi tuzağa düşürmek için kullanılacak yüze dönüşüyor. FBI’ın Los Angeles saha ofisinin başındaki Patrick Grandy, “Buna kurban olabileceğiniz bir senaryo hayal edemiyorsanız yeterince yaratıcı düşünmüyorsunuz demektir” dedi.

Tehdit, kripto para cüzdanlarının çok ötesine uzanıyor. FBI, aynı yöntemin yaygın biçimde kullanılan açık kaynak kodların bakımını yapan kişilere karşı da kullanıldığını söylüyor. Bir olayda, haftada on milyonlarca kez indirilen önemli bir JavaScript kütüphanesinin bakımını yapan kişi, tanıdığı birinin katıldığı sahte bir Teams görüşmesine girdi, önerilen çözümü uyguladı ve bilgisayarına zararlı yazılım bulaştırdı. Bilgisayar korsanları daha sonra, saldırı fark edilmeden önce bu kişinin erişimini kullanarak kütüphanenin indirmelerine zararlı bağımlılıklar ekledi. FBI, npm’de —JavaScript paketlerinin başlıca kayıt deposunda— çalışan bakımcıların ve daha yakın zamanda Rust geliştiricilerinin de hedef alındığını belirtiyor. Kandırılan tek bir bakımcı, hiçbir görüşmeye katılmamış milyonlarca kişinin karşısına zararlı yazılım çıkarabilir.

Yapay zekânın da bu işte payı var; ancak deepfake’lerle ilgili manşetlerin düşündürebileceğinden daha sınırlı. FBI, grubun kripto alanında tanınmış kişilerin deepfake videolarını üretmeye başladığını söylüyor. Bu videoların yalnızca düşük çözünürlüklü kamera görüntüsü gibi görünmesi yeterli. Ancak yöntem hâlâ büyük ölçüde gerçek kurbanlardan çalınan gerçek videolara dayanıyor. Bu da deepfake tespit araçlarının söz konusu görüşmelerin çoğunu yakalayamayacağı anlamına geliyor.

Operasyonun sonlandırılması da pek çok soruyu yanıtsız bırakıyor. Sunucular yenileriyle değiştirilebilir; FBI’ın Kuzey Kore devletine bağlı BlueNoroff, APT38 ya da Sapphire Sleet olarak bilinen bilgisayar korsanlığı grubuna atfettiği yöntemin arkasındaki kişiler ise ABD mahkemelerinin erişemeyeceği kadar uzakta, Kuzey Kore’de faaliyet gösteriyor. FBI, 900 videoda yer alan kaç kişinin para kaybettiğini açıklamadı. Üstelik bazı olaylarda bilgisayar korsanları cüzdanı boşaltmak için aylarca, bazen bir yıldan uzun süre bekledi; bakiyenin büyümesini izlerken harekete geçmediler. Bu nedenle bazı kurbanlar bilgisayarlarının ele geçirildiğini henüz bilmiyor olabilir.

FBI’ın önerileri somut. Özellikle yeni tanıştığınız ya da nadiren iletişim kurduğunuz kişilerden gelen davetlerde, toplantılara bir web bağlantısı yerine davet koduyla, resmî Zoom veya Teams uygulaması üzerinden katılın. Sizi davet eden kişiyi görüp sesini duyana ve onunla konuşana kadar kameranızı kapalı tutun. Bir görüşmedeki sorunu çözmek için asla komut dosyası çalıştırmayın ya da terminale kod yapıştırmayın. Toplantı bağlantısı içermeyen bir takvim davetine ve bağlantının görüşmeden birkaç dakika önce gönderilmesine şüpheyle yaklaşın; toplantıyı başka bir kanaldan doğrulayın. Telegram, WhatsApp ve Slack’te çok faktörlü kimlik doğrulamayı, giriş bildirimlerini ve kaybolan mesajları etkinleştirin.

FBI, FaceStealer uyarısını 12 Kasım’da, Adalet Bakanlığı’nın el koyma işlemini duyurduğu gün yayımladı. Bakanlık ayrıca, Kuzey Koreli bilgisayar korsanlarının ekim ayının sonlarında Binance borsasından çaldığı 1,2 milyar dolardan fazla kripto paraya el koymak ya da bu varlıkları dondurmak için mahkeme onayı aldığını açıkladı. Şimdiye kadar dondurulan miktar 2,7 milyar doları aşıyor; kalan varlıkları geri almak için çalışmalar sürüyor. FBI, hedef alındığını düşünenlere yönelik bilgilendirmelerin yer aldığı özel bir FaceStealer sayfası hazırladı.

Etiketler: siber güvenlik, deepfake, FBI, Kuzey Kore, Zoom, FaceStealer