FBI, 4억 달러 넘는 피해 낸 FaceStealer 암호화폐 사기 경고

FBI는 북한 해커들이 도난당한 웹캠 영상으로 암호화폐 업계 종사자를 사칭하고, 이들의 지인을 상대로 가짜 회의를 진행한다고 경고했다. 법무부는 FaceStealer로 인해 앞선 18개월 동안 4억 달러가 넘는 암호화폐가 도난당했다고 밝혔다. 법무부는 11월 12일 FaceStealer를 지원하는 클라우드 기반 인프라를 차단했다고 발표했다. 법무부는 FBI가 연방 영장에 따라 피해자들의 웹캠 영상 900개 이상을 압수했다고 밝혔다. 법무부는 FaceStealer를 바이낸스 도난 사건과 별도로 다뤘다.

FBI의 11월 12일 FLASH 권고문은 공격자들이 텔레그램, 링크드인, 슬랙, 디스코드 등 서비스의 실제 계정을 탈취한다고 설명했다. 공격자들은 이전 대화를 이용해 기존 대화 흐름에 어울리는 회의 초대장을 만든다. 정식 일정 관리 서비스를 통해 회의를 잡을 수도 있다. 회의 직전에 공격자들은 줌이나 마이크로소프트 팀즈를 사칭한 공격자 관리 사이트로 연결되는 악성 링크를 보낸다.

저장된 웹캠 녹화 영상은 지인이 가짜 회의에 참석한 것처럼 보이게 한다. 공격자들은 여러 참가자가 있는 것처럼 연출할 수도 있다. FBI는 도난당한 실제 영상이 FaceStealer에서 여전히 주된 사칭 수단이라고 밝혔다. 생성형 딥페이크는 참가자를 사칭하는 또 다른 수단이다. FLASH 권고문에 따르면 표적은 가짜 회의 링크를 처음 클릭하는 순간 웹캠 녹화가 시작된다. 공격자들은 이후 공격에서 표적을 사칭하기 위해 녹화 영상을 재사용할 수 있다.

공격자는 회의에 오디오 장애나 다른 기술적 문제가 있다고 주장한다. 공격자는 해결책이라며 업데이트 창, 스크립트 또는 터미널 명령어를 제시한다. 이 지시에 따르면 악성코드가 설치된다. FBI는 악성코드가 브라우저 쿠키를 훔치고, 키 입력을 기록하며, 화면을 캡처하고, 기기에 대한 접근 권한을 유지할 수 있다고 밝혔다. 침해된 컴퓨터에 접근하면 암호화폐나 기타 가치 있는 접근 권한이 노출될 수 있다. 탈취한 계정과 연락처 목록, 웹캠 녹화 영상은 후속 공격에 이용된다. FBI의 FaceStealer 자료 페이지는 기기 침해, 계정 탈취, 가짜 회의로 이어지는 반복적 수법을 설명한다.

FBI는 일부 사례에서 최초 침해가 발생한 지 수개월에서 1년 이상 지난 뒤 암호화폐 도난과 통신 계정 탈취가 일어났다고 보고했다. 의심스러운 회의 이후 한동안 문제가 겉으로 드러나지 않더라도 기기나 계정이 안전하다는 뜻은 아니다.

FBI는 초대 코드를 사용해 공식 회의 앱으로 접속하라고 권고한다. 가능하다면 별도의 통신 수단으로 초대장을 확인하라고도 권고한다. 다른 통신 수단으로 확인하면 공격자가 이미 통제하고 있을 수 있는 계정 외의 경로를 점검할 수 있다. FBI는 초대한 사람을 보고, 들으며, 대화할 수 있을 때까지 웹캠을 끄라고 권고한다. 명백한 기술적 문제에 대응해 화상회의 앱 업데이트라며 제시되는 스크립트 실행이나 터미널 명령어 입력은 피하라고 조언했다.

침해가 의심되는 경우 FBI는 영향을 받지 않은 기기에서 새로 만든 지갑으로 암호화폐를 옮기라고 권고한다. 통신 계정과 개발자 계정도 보호하라고 권고한다. FBI는 연락처와 고용주에게 알리고, FaceStealer라는 키워드를 사용해 IC3에 신고하라고 조언했다. 연락처에 알리면 도난당한 계정과 웹캠 영상을 이용한 추가 공격을 막는 데 도움이 될 수 있다.