El gobierno de EE. UU. desmanteló "FaceStealer", una campaña de Corea del Norte que robó más de 400 millones de dólares en criptomonedas mediante ingeniería social y *deepfakes*. Los atacantes engañaban a ejecutivos y desarrolladores con reuniones virtuales falsas para instalar malware y grabar sus webcams secretamente. Finalmente, las autoridades lograron neutralizar la infraestructura en la nube y congelar fondos multimillonarios vinculados a estos grupos.



El gobierno de EE. UU. ha desarticulado una campaña de ingeniería social norcoreana llamada ‘FaceStealer’, responsable del robo de más de 400 millones de dólares en criptomonedas.

Los ataques utilizaron múltiples técnicas de ingeniería social, incluyendo deepfakes y ClickFix, para dirigirse a personas en los sectores de criptomonedas y Web3, así como a desarrolladores de código abierto.

La campaña FaceStealer operó durante 18 meses antes de que EE. UU. incautara la infraestructura basada en la nube subyacente.


Las autoridades estadounidenses identificaron más de 900 videos de webcam que los hackers grabaron secretamente de trabajadores tecnológicos, quienes fueron engañados en la masiva operación norcoreana.

Una alerta del FBI a principios de esta semana señala que el actor de amenazas norcoreano secuestró cuentas en Telegram, LinkedIn, Slack y Discord, y las utilizó para invitar a las víctimas a reuniones de video bajo diversos pretextos.

Durante las videollamadas, el atacante mostraba imágenes grabadas de personas que los objetivos conocían y que también habían sido víctimas anteriormente.

El FBI explica [aquí] que mientras el objetivo esperaba que comenzara la reunión, el hacker grababa secretamente un video, que luego era utilizado con otros objetivos. La reunión a veces incluía grabaciones de múltiples personas conocidas para añadir presión sobre la víctima actual en la siguiente etapa.

Poco después, el hacker alegaba un problema técnico y mostraba un mensaje de error falso para justificar la entrega de una “solución” maliciosa.

Luego, se instaba al objetivo a seguir un enlace que pretendía ofrecer una solución, como una actualización o un instalador, que infectaba su computadora con malware que roba datos de criptomonedas y credenciales de cuentas para plataformas de reuniones de video como Zoom, Google Meet y Microsoft Teams.

El malware también proporciona acceso a las listas de contactos de las víctimas, redes sociales, aplicaciones de comunicación y videos de la webcam.

Ciclo de infección

Fuente: FBI

Según el FBI, los atacantes a veces retrasaban el ataque a individuos durante meses o incluso más de un año después del compromiso inicial, probablemente esperando a que sus tenencias de criptomonedas crecieran.

Investigadores de ArticWolf atribuyeron la campaña FaceStealer al grupo de hackers BlueNoroff y enumeraron señuelos adicionales [aquí], incluyendo documentos financieros, actualizaciones falsas de visores de PDF, solicitudes de verificación de identidad y auditorías de seguridad, todo diseñado para persuadir al objetivo a ejecutar una “solución”.

Los investigadores identificaron 677 objetivos en 58 países, con un fuerte enfoque en fundadores de empresas y altos ejecutivos.

Herramientas que los  norcoreanos usaron para crear videos maliciosos

Fuente: ArticWolf

La empresa de ciberseguridad Huntress atribuyó una campaña similar a BlueNoroff en 2025, donde los atacantes utilizaron llamadas de Zoom para infectar a ejecutivos de empresas con malware personalizado para macOS.

El boletín del FBI destacó un incidente en el que los hackers comprometieron al mantenedor de una popular biblioteca de JavaScript de código abierto con decenas de millones de descargas semanales, tras atraerlo a una reunión falsa de Teams con múltiples participantes, incluido uno conocido para el desarrollador.

El ataque fue frustrado gracias a una detección rápida, pero el FBI afirma que confirmó múltiples intentos adicionales contra desarrolladores en los ecosistemas de npm y Rust crate.

Analistas de amenazas de Amazon también atribuyeron varios ataques a la cadena de suministro de software de código abierto a BlueNoroff en un informe de julio de 2026.

Para defenderse de estos ataques, se recomienda a los usuarios unirse a reuniones solo a través de aplicaciones oficiales utilizando un código de invitación, verificar las invitaciones inesperadas de forma independiente y mantener la webcam apagada a menos que sea explícitamente necesario. Finalmente, evitar ejecutar scripts ofrecidos como soluciones a problemas técnicos.

Como anuncio aparte, el Departamento de Justicia de EE. UU. dijo [aquí] que junto con empresas del sector privado, el gobierno de EE. UU. congeló más de 2.700 millones de dólares del robo de criptomonedas de Binance de 6.400 millones.

El DoJ ya ha "obtenido autorización judicial para incautar o restringir más de 1.200 millones de dólares de esa cantidad".


Fuente:
BleepingComputer