朝鲜黑客用偷录的摄像头视频和假Zoom会议盗走4亿美元

视频通话另一端那张脸，属于目标早已认识的朋友、同事或投资人。但那其实是一段录制视频。根据 FBI 的说法，朝鲜黑客一直在诱骗受害者参加仿冒的 Zoom 和 Teams 会议，播放从此前受害者那里秘密录下的摄像头画面，随后再说服新的目标安装恶意软件，并谎称这只是快速解决技术问题的办法。

FBI 将这一骗局称为 FaceStealer。它把远程办公中最寻常不过的时刻，变成了攻击本身。邀请来自你信任之人的真实账号，会议看起来就像你每天使用的应用，而等着与你通话的人也仿佛正是你预想中的那位。FBI 表示，即便是经验丰富、注重安全的用户，也可能被骗。

这场骗局的规模不小。在一份面向加密货币行业和开源软件维护者的警报中，FBI 表示，过去 18 个月里，这一骗局已窃取价值超过 4 亿美元的加密货币。调查人员查扣了其背后的云端基础设施，还取得了 900 多段受害者的摄像头视频。这些受害者来自世界各地，从事加密货币和 Web3 相关工作；黑客将这些视频保存起来，作为资料库，在之后的攻击中冒充他们。

每次攻击都从一个已经遭到入侵的人开始。攻击者接管此人的 Telegram 或其他通讯应用，查看聊天记录，再向其联系人发送量身定制的邀请，约对方叙旧、讨论合作，或聊聊投资。接下来会发来一份 Calendly 邀请，通常不附会议链接。直到通话开始前不久，链接才会发出，指向一个仿冒网址，打开后是黑客控制的 Zoom 或 Teams 仿制页面。进入会议后，目标会看到熟悉的联系人，通常还有几名其他参与者，但他们全都是预先录好的视频。

接下来就是骗局的关键一步。假冒联系人会发消息说听不到目标的声音，并让对方安装更新、运行脚本，或把一行代码粘贴到终端里。所谓的修复程序会安装浏览器 Cookie 窃取工具、键盘记录器、屏幕捕获程序和后门。黑客从目标点击链接的那一刻起，就开始录制其摄像头画面，因此新受害者也会成为诱骗下一个人的“面孔”。“如果你想不出自己可能中招的情形，那就说明你的想象力还不够丰富。”负责领导 FBI 洛杉矶办事处的帕特里克·格兰迪（Patrick Grandy）说。

风险远不止加密货币钱包。FBI 表示，同样的手法也被用来攻击维护广泛使用的开源代码的人。在一起案件中，一名大型 JavaScript 库的维护者——这个库每周被下载数千万次——参加了一场假 Teams 通话，通话对象是他认识的人。他按照对方建议的方法修复问题，结果电脑遭到感染。随后，黑客利用他的访问权限，在入侵被发现前，把恶意依赖包悄悄塞进该库的下载内容中。FBI 表示，其他攻击还瞄准了 npm（主要的 JavaScript 软件包仓库）的维护者，近期又将目标转向 Rust 开发者。只要骗过一名维护者，黑客就可能把恶意软件送到数百万从未参加过任何通话的人面前。

人工智能也在其中发挥作用，不过作用没有深度伪造相关头条所暗示的那么大。FBI 表示，该组织已经开始生成加密货币领域知名人士的深度伪造视频，只要看起来像画质粗糙的摄像头画面就够了。但这场骗局仍然主要依赖从真实受害者那里窃取的真实视频，这意味着深度伪造检测器无法识别其中大多数通话。

这次查扣行动仍留下许多未解问题。服务器可以更换，而据 FBI 指认，幕后组织是朝鲜国家支持的黑客团体，名称包括 BlueNoroff、APT38 和 Sapphire Sleet；他们在朝鲜境内活动，远离美国法院的管辖范围。FBI 没有说明 900 多段视频中的人有多少损失了资金。在多个案例中，黑客等了数月，有时甚至一年多才清空钱包，期间一直按兵不动，等着钱包余额增加，因此有些受害者可能还不知道自己的电脑已经遭到入侵。

FBI 给出的建议很具体。加入会议时，应通过官方 Zoom 或 Teams 应用输入邀请码，而不是点击网页链接；尤其要提防新联系人或不常联系的人发来的邀请。在确认能看见、听见并与邀请你的人交谈之前，先关闭摄像头。绝不要为了修复通话问题运行脚本，或把代码粘贴到终端中。如果日历邀请没有附会议链接，而链接又在开始前几分钟才发来，就要提高警惕，并通过另一个渠道核实会议。还应在 Telegram、WhatsApp 和 Slack 上开启多重身份验证、登录提醒和阅后即焚消息功能。

FBI 于 11 月 12 日发布了 FaceStealer 警报，司法部也在同一天宣布查扣行动。司法部还表示，法院已批准其查扣或冻结超过 12 亿美元的加密货币；这些加密货币是朝鲜黑客在 10 月下旬从 Binance 交易所窃取的。截至目前，已冻结的加密货币总额超过 27 亿美元，追回其余资产的工作仍在继续。FBI 还设立了专门的 FaceStealer 页面，为认为自己可能成为攻击目标的人提供指导。

标签: 网络安全, 深度伪造, FBI, Zoom, 朝鲜, FaceStealer