FBI: Kuzey Koreli Hackerlar Deepfake Görüntülü Görüşmelerle 400 Milyon Dolardan Fazla Kripto Para Çaldı

FBI: Kuzey Koreli Hackerlar Deepfake Görüntülü Görüşmelerle 400 Milyon Dolardan Fazla Kripto Para Çaldı

ABD Federal Soruşturma Bürosu (FBI), Kuzey Kore ile bağlantılı siber suçluların son 18 ayda “FaceStealer” adı verilen bir sosyal mühendislik planıyla 400 milyon doların üzerinde kripto para çaldığını tespit etti. ABD hükümeti tarafından açıklanan koordineli eylemler kapsamında, bu “tespit edilmesi zor” kampanyayı gerçekleştirmek için kullanılan bulut tabanlı altyapıya el konuldu.

Aynı zamanda, ABD Adalet Bakanlığı (DoJ), Kuzey Kore bağlantılı TraderTraitor aktörleri tarafından Binance kripto para borsasının hacklenmesiyle yakın zamanda çalınan 1,2 milyar dolardan fazla kripto paranın mahkeme kararıyla ele geçirildiğini ve kısıtlandığını duyurdu. DoJ, ele geçirilen dijital varlıkların Pyongyang’ın yasa dışı silah programını finanse etmek için kullanıldığını belirtti.

FBI Siber Şube Operasyon Direktörü Brett Leatherman yaptığı açıklamada, “Kuzey Kore rejimi, yasa dışı silah programını finanse etmek için büyük ölçekli kripto para hırsızlığından elde edilen gelirlere güveniyor ve son yıllarda milyarlarca dolar çalıyor” dedi. Leatherman, “Kuzey Koreli siber aktörler, FaceStealer planını kullanarak kripto para ve Web3 sektörlerindeki bireyleri aldatıcı sosyal mühendislik taktikleriyle agresif bir şekilde hedef aldı ve son 18 ayda 400 milyon dolardan fazla hırsızlığa yol açtı” diye ekledi.

Adalet Bakanlığı’na göre, FaceStealer kripto para hırsızlığını kolaylaştırmak için gizlice kaydedilmiş videoları ve deepfake’leri kullanıyor. Bu faaliyetin bazı yönleri, Kaspersky tarafından Ekim 2025’te GhostCall adıyla belgelenen bir kampanyayla örtüşüyor.

Bu faaliyet, BlueNoroff olarak bilinen, aynı zamanda APT38, CageyChameleon, CryptoCore, DangerousPassword, Nickel Gladstone, Sapphire Sleet, Stardust Chollima ve UNC1069 gibi kriptonimlerle de anılan, Kuzey Kore bağlantılı, finansal motivasyonlu bir tehdit kümesiyle ilişkilidir.

FaceStealer Saldırısının İşleyişi

Kampanya, önceki kurbanlara ait çalınan hesaplardan gönderilen video toplantı davetleriyle hedefleri cezbetmeyi içeriyor. Toplantıya katılan hedeflerin video akışı kaydedilirken, aynı anda hedefin tanıdığı önceki bir veya daha fazla kurbanın otantik, önceden kaydedilmiş bir web kamerası videosu gösterilerek güven oluşturuluyor.

DoJ, “Kuzey Koreli hackerlar ayrıca, FaceStealer planını daha da etkili hale getirmek için genellikle kripto para ve web3 endüstrilerindeki tanınmış ve etkili kişilerin deepfake videolarını geliştirmek için süper zeka (SI) kullanıyor” dedi. “Burada da, hedeflerin güvenini kazanmak için toplantılarda deepfake videoları kullanıyorlar.”

Toplantının birkaç saniye içinde, kurbana duyulamadığına dair sahte bir teknik hata sunulur ve var olmayan sorunu çözmek için bir bağlantı sağlanır. Bu düzeltme, kurbanın iş istasyonuna kötü amaçlı yazılım yüklemek ve kripto para çalmak, ayrıca hedefin diğer bilgisayar altyapılarına erişim ayrıcalıklarını kötüye kullanmak için tasarlanmış bir ClickFix tarzı yemdir.

JUMPSEC, Temmuz 2026’da The Hacker News ile paylaştığı kapsamlı bir raporda, sosyal mühendislik operasyonunun Zoom ve Microsoft Teams gibi video konferans platformlarını taklit etmek için tasarlanmış bir kimlik avı kiti üzerine inşa edildiğini ortaya koydu. Siber güvenlik şirketi, FaceStealer’ı, ele geçirilmiş güvenilir kişileri Telegram aracılığıyla kendi kendini yayan bir saldırı zincirini beslemek için bir kurban edinme platformu olarak nitelendirdi.

Bu, Telegram, LinkedIn, Slack ve Discord gibi sosyal medya ve iletişim hesaplarının uzun süreler boyunca ele geçirilmesini ve ardından kurbanın kişi listesine erişerek kurbanın kişisel ve profesyonel çevrelerini hedef almayı içeriyor.

Saldırı şu şekilde ilerliyor:

• Kurbanı ele geçirme: Kripto para cüzdanlarını, tohum ifadelerini ve diğer değerli erişimleri toplama; Telegram hesaplarını veya diğer iletişim uygulamalarını ele geçirme ve onları kilitleme; kişilerine ve sohbet geçmişlerine erişim sağlama; ve video sohbeti sırasında gizlice kaydetme.
• Kurbanın Telegram hesabını kullanma: Saldırgan, kurbanı taklit ederek diğer kişilere yatırım fırsatını görüşmek bahanesiyle Zoom veya Teams toplantısı öneren özel mesajlar gönderir.
• Toplantıyı ayarlama: Hedef ilgi gösterirse, saldırgan Telegram aracılığıyla bir Calendly daveti göndererek video toplantısını planlar. Planlanan toplantı saatinden kısa bir süre önce, kurbanın Telegram hesabı, Zoom (“uu01webzoom[.]us”) veya Teams (“teams.livemeet[.]us”) için bir toplantı URL’si gibi görünen, yazım hatası içeren bir bağlantı göndermek için kullanılır.
• Kaydedilmiş videoları kullanma: Hedef sahte Zoom toplantısına katıldığında, saldırgan güvenilir kişinin önceden kaydedilmiş bir web kamerası videosunu ve diğer videoları (kaydedilmiş veya deepfake videoları) oynatarak toplantıda birden fazla katılımcı olduğu izlenimini verir. Ayrıca, OpenAI ChatGPT kullanılarak oluşturulan vesikalık görüntüler, sahte aramalarda statik avatar yer tutucuları olarak kullanılır.
• Hedefi kendini enfekte etmeye ikna etme: Saldırgan, hedefe bir ses sorunu veya başka bir teknik hata (örneğin, eski bir Zoom SDK) olduğunu iddia eden bir mesaj gönderir ve sorunu çözmek için bir güncelleme uygulamak üzere bir bağlantıya tıklamasını ister. Alternatif olarak, bir komut dosyası çalıştırma veya kötü amaçlı kodu komut satırına veya Terminal’e kopyalayıp yapıştırma şeklinde de olabilir. Bu, ele geçirilmiş cihazdan hassas verileri yakalayabilen kötü amaçlı yazılımın dağıtılmasına neden olur ve hedefi etkili bir şekilde bir sonraki kurban haline getirir.
• Döngüyü tekrarlama: Kurban artık ele geçirildiğinde, saldırgan cihazının ve sosyal medya hesaplarının kontrolünü ele geçirerek saldırıyı kişilerine yayar.

BlueNoroff tarafından gerçekleştirilen saldırıların, özellikle kripto para ve Web3 endüstrilerinde çalışan bireyleri, ayrıca açık kaynaklı yazılım geliştirme ve bakımında yer alan kişileri hedef aldığı biliniyor.

Amaç, yazılım tedarik zinciri saldırılarını kolaylaştırmak için geliştiricilerin cihazlarına ve kontrol ettikleri yazılım deposu hesaplarına erişim sağlamaktır. Özellikle, FaceStealer planı, bu yılın başlarında popüler Axios npm paketinin bakımcısını hedef alarak, platformlar arası bir uzaktan erişim truva atı (RAT) dağıtan truva atlı bir sürümü yayınlamak için kullanıldı.

FBI, tehdit aktörleri tarafından sonraki saldırılarda kurbanları taklit etmek için kullanılan 900’den fazla kurban web kamerası video kaydına el koydu. Ajans, “Kuzey Koreli hackerların yazılım geliştiricilerini, bakımcılarını ve önemli indirme hacmine sahip yazılım kütüphanelerini hedef alan başka birçok girişiminden haberdar olduğunu” belirtti.

Nisan 2026’da yayınlanan bir raporda, Arctic Wolf, hedeflenen sosyal mühendislik kampanyasının 20’den fazla ülkede 400’den fazla kurbanı hedef aldığını ve bunların çoğunun ABD, Singapur, Birleşik Krallık, Hong Kong, Güney Kore ve BAE’de yoğunlaştığını söyledi.

Siber güvenlik şirketi o dönemde, “Tespit edilen hedeflerin tam %80’i doğrudan kripto para/blok zinciri finansında (%54) veya bitişik finans ve yatırım sektörlerinde (%26) faaliyet gösteriyor” dedi. “Yalnızca CEO’lar ve kurucular, hedef grubunun %45’ini oluşturuyor – neredeyse yarısı. Bu, BlueNoroff’un tek operasyonel odağının altını çiziyor: kripto para varlıklarına, cüzdan altyapısına, borsa platformlarına veya yatırım karar verme yetkisine sahip bireyler.”

Faaliyet o zamandan beri genişledi ve 58 ülkede 677 hedef tespit edildi. Hedeflerin %80’inden fazlası kurucular ve C-seviyesi yöneticilerdir. Sahte Chrome PDF Görüntüleyici güncellemesi gibi yeni yem temaları sunmanın yanı sıra, kampanya, saldırganlara sanat eserleri, avatarlar ve ikna edici sentetik katılımcı videoları sağlamak için ChatGPT, Google, SpaceXAI Grok ve Wondershare AI İçerik Oluşturucu (AIGC) gibi üretken yapay zeka teknolojilerini içeriyor.

Şirket, “Yukarı akışta, keşif hem genişledi hem de daha kasıtlı hale geldi” diye ekledi. “Yem materyali sadece profil fotoğraflarından ve önceki kurbanların web kamerası akışlarından değil, aynı zamanda YouTube röportajlarından ve konferans konuşmalarından da ekran kaydedilerek toplandı. Bu, belirli bir kişinin benzerliğini ve sesini – belki bir kurucunun veya bir CEO’nun – yakalamalarına ve ardından hedefi doğrudan ele geçirmek zorunda kalmadan sahte toplantı görüntüleri oluşturmalarına olanak tanıyor.”

Her yeni kurban, saldırıyı ilerletmek için bir yol sunuyor. Döngüsel çalışma şekli, sosyal mühendislik operasyonunun hala atan kalbidir.

Arctic Wolf, “Yeni sahte medya oluşturma yetenekleriyle birleştiğinde, çeşitli ve güvenilir yem içeriği üretmek için, bu, BlueNoroff’un fonları, imzalama anahtarlarını, hassas bilgileri, kimliği doğrulanmış iletişimleri ve güvenilir profesyonel ilişkileri kontrol eden yüksek değerli bireyleri ele geçirme çabalarında önemli bir artışı temsil ediyor” dedi.

FaceStealer’dan Bulaşıcı Mülakata

Burada FaceStealer kampanyasının, işe alım temalı kampanyaların bir parçası olarak kötü amaçlı yazılımın yürütülmesini tetiklemek için ClickFix tarzı taktikler de kullanan Contagious Interview’ın bir yinelemesi olan ClickFake Interview’dan farklı olduğunu vurgulamak gerekir.

FaceStealer gibi, bu da saldırganların LinkedIn gibi platformlarda işe alım uzmanı gibi davranarak potansiyel hedeflere yaklaşmasını ve kötü amaçlı yazılım çalıştırmak için tasarlanmış bir “teknik değerlendirme” paylaşmasını içeriyor. Delivery Hero’da mühendislik yöneticisi olan Alina Krasavina, LinkedIn’de paylaştığı bir gönderide, Ekim 2026’da aynı gün, 13 dakika arayla iki sahte işe alım uzmanı tarafından nasıl hedef alındığını ayrıntılarıyla anlattı.

Krasavina, “İlki bir ‘teknik değerlendirme’ gönderdi: 113 dosyadan oluşan bir Next.js projesi. next.config.js’nin sonunda, 204 boşluktan sonra bir arka kapı vardı” dedi. “İkincisi herhangi bir ZIP göndermedi. Bir görüntülü görüşmede, ‘Teknik Kadro Üyesi’ benden tüm ekranımı paylaşmamı, bir depoyu indirmemi ve çalıştırmamı istedi. Hayır dediğimde, ‘devam etmek için bir gereklilik’ olduğunu söyledi. Görüşmeden sonra işe alım uzmanına yazdım ve başka bir mülakat formatı istedim. Yaklaşık bir dakika sonra beni engelledi.”

“İki saldırı zıt şekillerde inşa edildi. İlki çabayı koda harcadı ve işe alım uzmanına neredeyse hiç harcamadı. İkincisi insanlara harcadı ve ben kodunu hiç görmedim.”

Japonya, ABD, Avustralya ve Almanya’dan siber güvenlik ve istihbarat ajansları tarafından Eylül 2026’nın sonlarında yayınlanan ortak bir siber güvenlik uyarısına göre, uzun süredir devam eden kampanyanın 100 ülkede en az 30.000 cihazı ele geçirdiği tahmin ediliyor.

Saldırılar, kurbanları kötü amaçlı kod çalıştırmaya ikna etmek için birden fazla dağıtım yöntemi deniyor:

• Kurbanlardan bir değerlendirme sürecinin parçası olarak çalıştırmaları istenen kodlama testlerine, depolara veya paketlere kötü amaçlı yazılım yerleştirme.
• Microsoft Visual Studio Code (VS Code) tasks.json yapılandırma dosyalarını kullanarak, proje VS Code’da açıldığında kötü amaçlı kodun otomatik olarak yürütülmesini tetikleme.
• .githooks/pre-commit ve post-checkout komut dosyalarını kullanarak, ilk commit veya dal değişikliğinde kötü amaçlı kodu çalıştırma.
• macOS yardımcı uygulamaları için truva atlı yükleyicileri kullanarak, bir kabuk betiği indiricisi aracılığıyla OtterCookie’yi dağıtma.

Geçen ay Sophos, bir çalışanının kurumsal macOS cihazının Eylül 2026 ortalarında, bir iş mülakatı kodlama ödevi olarak sunulan herkese açık bir kod deposunu klonladıktan ve bunu VS Code’da bir çalışma alanı olarak açtıktan sonra ele geçirildiğini açıkladı.

Siber güvenlik şirketi, “Depo, düzenleyicinin entegre terminal profilini değiştiren silahlı bir VS Code çalışma alanı ayarları dosyası içeriyordu” dedi. “Çalışma alanında bir terminal açıldığında, değiştirilmiş profil sessizce çok aşamalı bir yükü indirdi ve çalıştırdı.”

Söz konusu yük, InvisibleFerret olarak adlandırılan bir Python arka kapısını dağıtmak için kullanılan bir JavaScript yükleyicisi olan BeaverTail’dir. Her iki kötü amaçlı yazılım ailesi de Contagious Interview’a atfediliyor.

Sophos, kötü amaçlı yazılımın 14 Eylül 2026’daki yürütülmesinden bir gün sonra yeniden başlatılana kadar cihazda yaklaşık 26 saat boyunca bellekte çalıştığını söyledi. Olayın ürünlerini veya hizmetlerini, müşteri verilerini veya sistemlerini etkilemediğini ekledi.

Dahası, JFrog’un yakın zamanda yaptığı araştırma, kampanyayla bağlantılı tehdit aktörlerinin, AccuraSoftHire adında sahte bir şirket kurduğunu ortaya çıkardı. Bu şirket, bir kariyer sitesi, müşteri referansları, bir LinkedIn sayfası, ana akım panolarda iş ilanları ve doğrulanmış işe alım uzmanları ile tamamlanarak güvenilirlik sağlamaya ve nihayetinde adayları hileli bir evde test ve bir video doğrulama adımı aracılığıyla kötü amaçlı yazılım çalıştırmaya ikna etmeye çalıştı.

JFrog Güvenlik Araştırması kıdemli güvenlik araştırmacısı Guy Korolevski, The Hacker News ile paylaşılan bir açıklamada, “Araştırmamız, bu yemlerin insanların güvendiği kontrolleri geçecek şekilde inşa edildiğini gösteriyor: profesyonel bir web sitesi, bir LinkedIn sayfası, ana akım panolarda iş ilanları ve LinkedIn’in doğrulanmış rozetine sahip işe alım uzmanları” dedi.

“Sistem erişimi olan geliştiricilerin ve diğer çalışanların bunu kendi başlarına yakalamaları beklenemez, bu nedenle işverenlerin kuralları belirlemesi gerekiyor. İndirme içeren mülakat görevleri her zaman yalnızca tek kullanımlık bir sanal makinede çalıştırılmalı, asla bir iş dizüstü bilgisayarında çalıştırılmamalıdır. Güvenlik ekipleri ayrıca çalışanları, güvendiklerini düşündükleri bir kaynaktan bile olsa bilinmeyen dosyaları indirmemeleri konusunda uyarmalıdır. Geliştiriciler ayrıca bir işe alım uzmanının profilinin ne zaman oluşturulduğunu ve şirketin konumunun her sayfada aynı olup olmadığını da kontrol edebilirler.”