ABD, Binance Hırsızlığından Çalınan 1,2 Milyar Doları Geri Aldı ve ‘FaceStealer’ Araçlarını Etkisiz Hale Getirdi

ABD, Binance Hırsızlığından Çalınan 1,2 Milyar Doları Geri Aldı ve ‘FaceStealer’ Araçlarını Etkisiz Hale Getirdi

Geçtiğimiz ay kripto para platformu Binance’ten çalınan 6,3 milyar dolarlık hırsızlığın ardından, ABD kolluk kuvvetleri bu hafta Kuzey Koreli bilgisayar korsanları tarafından kullanılan çalınan kripto para birimini ve dijital araçları ele geçirdi.

Adalet Bakanlığı, bu cüretkar saldırı sırasında Binance’ten çalınan 1,2 milyar dolardan fazla miktarı ele geçirmek veya dondurmak için mahkeme izni aldı. Bu miktar, hırsızlığın ardından çeşitli kripto para platformları tarafından dondurulan toplam 2,7 milyar doların bir parçasıydı.

Adalet Bakanlığı Yardımcısı A. Tysen Duva, bakanlık içindeki birçok birimin, çalınan milyarlarca dolarlık Binance dijital varlığının kolluk kuvvetlerinin erişiminden çıkmadan önce anında dondurulmasında kritik bir rol oynadığını belirtti.

Duva, “Bakanlığın dijital varlık endüstrisiyle irtibatı olarak, Ceza Dairesi bu tarihi ihlalin yaklaşık yarısını anında durdurmak için uzmanlığını hızla ve verimli bir şekilde kullandı” dedi.

Binance ve FBI, hırsızlığı, son on yılda birden fazla saldırıda milyarlarca dolarlık kripto para birimi çalmaktan sorumlu önde gelen Kuzey Koreli bilgisayar korsanlığı grubu TraderTraitor’a atfetti.

Adalet Bakanlığı, “Çalınan sanal varlıkları izleme, dondurma, ele geçirme ve el koyma çabaları devam ediyor, çünkü TraderTraitor aktörleri bu tür varlıkları çeşitli kripto para köprüleri, karıştırıcılar ve borsalar aracılığıyla aklamaya devam ediyor” açıklamasını yaptı.

Birden fazla blok zinciri güvenlik firması, Kuzey Kore ve diğer aktörlerin çalınan kripto para birimini aklamak için yeni, otomatik yöntemler kullandığını belirtti.

Kuzey Kore siber suç kampanyalarını yıllardır takip eden DTEX’te ulus devlet tehdit araştırmacısı Michael Barnhart, daha önce Recorded Future News’e TraderTraitor’ın çalışma şeklinin, çalınan fonları hemen Çinli para aklayıcılara toplu bir miktar veya yüzde karşılığında boşaltmak olduğunu söylemişti.

Blok zinciri istihbarat şirketi Elliptic bu hafta, Kuzey Koreli aklayıcıların “kendi değersiz tokenlerini oluşturduğunu ve bunları çalınan kripto varlıklarını merkezi olmayan borsa likidite havuzları aracılığıyla taşımak için kullandığını, böylece çalınan varlıkları tutan cüzdanlardan doğrudan alan cüzdanlara hiçbir fonun geçmediğini” gördüğünü bildirdi.

Elliptic, Kuzey Kore’nin geçen yıl Dubai merkezli kripto platformu Bybit’ten çalınan 1,4 milyar doları aklarken benzer bir teknik denediğini de kaydetti.

FBI Siber Şube Operasyon Direktörü Brett Leatherman, Kuzey Kore rejiminin “yasadışı silah programını finanse etmek için büyük ölçekli kripto para hırsızlığından elde edilen gelirlere güvendiğini ve son yıllarda milyarlarca dolar çaldığını” ifade etti.

FaceStealer Saldırısının Engellenmesi

Binance ile ilgili ele geçirme işlemine ek olarak, FBI ve Adalet Bakanlığı, Kuzey Koreli bilgisayar korsanları tarafından son 18 ayda “FaceStealer” adlı bir sosyal mühendislik kampanyası aracılığıyla 400 milyon dolardan fazla kripto para çalmak için kullanılan bulut altyapısını da etkisiz hale getirdiklerini duyurdu.

Kuzey Koreli bilgisayar korsanları, kurbanları kötü amaçlı Zoom veya Teams bağlantıları, önceden kaydedilmiş videolar ve deepfake’ler kullanarak kötü amaçlı yazılım indirmeye ikna etti ve ardından bu kurbanların görüntülerini daha fazla saldırı için kullandı.

FBI, FaceStealer kurbanlarının 900’den fazla web kamerası videosunu ele geçirmek için bir arama emri aldı. Bir basın toplantısında, FBI yetkilileri kurbanların çoğuyla iletişime geçtiklerini ve plan hakkında onlarla görüştüklerini, ancak ilk kurbanın kim olduğunu belirleyemediklerini belirtti.

Bir FBI ajanı, Recorded Future News’e FaceStealer’ın Binance’i ihlal etmek için kullanılan yöntemlerden biri olup olmadığının belirsiz olduğunu söyledi.

FBI yetkilisi Patrick Grandy, “Kuzey Kore’nin FaceStealer’ı, en deneyimli teknik ve güvenlik bilincine sahip bilgisayar kullanıcılarını bile aldatabilen oldukça etkili bir sosyal mühendislik planıdır” dedi.

“Yaygın video konferans platformlarına ve değerli kişisel ilişkilere olan güvenimizi sömürüyor. Eğer buna kurban gidebileceğiniz bir senaryo hayal edemiyorsanız, yeterince yaratıcı düşünmüyorsunuz demektir.”

FBI ve Adalet Bakanlığı’na göre, bilgisayar korsanları, daha önceki kurbanlardan çalınan hesaplardan gönderilen Calendly davetiyeleriyle Zoom veya Teams video toplantılarına hedefleri çekiyor. Bağlantılar, kötü amaçlı yazılım içeren sahte alan adlarına yönlendiriyor ve saldırganların kurbanları toplantılara katılmadan önce ele geçirmesine olanak tanıyor.

FBI tarafından soruşturulan birçok vakada, bilgisayar korsanları kurbandan kripto para çaldı ve Telegram, LinkedIn, Slack ve Discord gibi platformlardaki hesapları ele geçirdi; kurbanın bağlantılarıyla iletişime geçerek bazen aylar sonra Zoom veya Teams toplantıları önerdi.

Bilgisayar korsanları, önceki kurbanların sohbet geçmişlerine erişebildikleri için, yüksek değerli kişilere özel mesajlar hazırlayabilir ve mesajları kişiselleştirebilirler.

Hedef toplantıya kabul edildiğinde, birçok katılımcı varmış gibi görünmesini sağlamak için geçmiş kurbanlardan alınan birden fazla video oynatırlar. Bilgisayar korsanları ayrıca hedefin web kamerası videosunu kaydeder, böylece güvenilir kişilerine yönelik saldırılarda kullanılabilir.

Bazı durumlarda, bilgisayar korsanları önde gelen kripto para figürlerinin deepfake videolarını oluşturmak için yapay zeka kullandı. FBI’a göre, her kurbanla birlikte Kuzey Kore’nin ele geçirilmiş hedef ve kurban havuzu katlanarak büyüyor.

“Toplantı sırasında, bilgisayar korsanları toplantıya sahte bir teknik hata sokar, örneğin hedefin duyulamadığını iddia eder ve hatayı düzeltmek için bir bağlantı veya komut sağlar” dediler.

“‘Düzeltme’, hedefin bilgisayarına gizlice kötü amaçlı yazılım yükler. Hedefin bilgisayarı ele geçirildiğinde, bilgisayar korsanları kripto para çalabilir veya hedefin diğer bilgisayar altyapısına erişimini kötüye kullanabilir.”

“Düzeltme” genellikle enfekte cihaza bir tarayıcı çerez toplayıcı, tuş kaydediciler, ekran yakalayıcılar ve bir arka kapı yükler.

Kuzey Koreli aktörler, bu planı kripto para endüstrisini ve açık kaynaklı yazılım üzerinde çalışan geliştiricileri hedeflemek için kullanıyor.

FBI, Kuzey Koreli bilgisayar korsanlarının yazılım geliştiricilerini, bakımcılarını ve önemli indirme hacmine sahip yazılım kütüphanelerini hedeflemek için başka girişimlerde bulunduğunu biliyor. Birçok girişim, JavaScript kayıt defteri Node Packet Manager (NPM) üzerindeki depolara sahip bakımcılara ve son zamanlarda Rust kasalarının bakımcılarına yöneltildi.

Bu yılın başlarında, Kuzey Koreli bilgisayar korsanlarının FaceStealer planını kullanarak “önemli bir açık kaynaklı JavaScript kütüphanesinin bakımcısını sahte bir Teams video sohbetine ‘neredeyse’ çektiğini” kaydettiler.

Bir FBI yetkilisi, JavaScript bakımcısı olayını detaylandırmayı reddetti, ancak bunun “haber medyasında geniş yer bulduğunu” ve FaceStealer planının, daha önce hata ayıklama ve tebeşir NPM paketlerini ve Mart ayında oldukça popüler axios paketini ele geçirmekle suçlanan bir Kuzey Koreli grup olan APT38’e atfedildiğini belirtti.

APT38, 2016 Bangladeş Merkez Bankası soygunundan sorumlu Kuzey Kore’nin önde gelen askeri bilgisayar korsanlığı grubudur. DTEX’in Kuzey Kore uzmanı Barnhart, APT38’in başarısından sonra grubun birkaç farklı kola ayrıldığını ve bunlardan birinin TraderTraitor olduğunu söyledi.