Contexte et portée de l'opération
Le FBI a identifié plus de 900 victimes en 18 mois, dont le total des pertes s’élève à plus de 400 millions de dollars en cryptomonnaies. L’enquête relie ces vols à un groupe soutenu par l’État nord‑coréen, qui aurait déjà exploité le piratage de Binance. Le nouveau schéma, nommé FaceStealer, cible spécifiquement les acteurs du secteur crypto et Web3, ainsi que les développeurs d’open‑source, afin d’accéder à des portefeuilles numériques et à des clés privées.
Mécanisme technique de l'attaque
Les assaillants créent ou détournent des comptes sur Zoom, Microsoft Teams et Google Meet, puis envoient des invitations à des appels vidéo. Au cours de l’appel, ils diffusent une vidéo pré‑enregistrée d’une victime connue du cible, simulant ainsi une conversation légitime. Un dysfonctionnement audio factice apparaît, suivi d’un message demandant de « corriger » le son via un lien. Ce lien déclenche le téléchargement d’un chargeur de type .exe ou .dmg qui installe un cheval de Troie capable d’extraire les listes de contacts, les applications installées et les informations d’authentification liées aux portefeuilles crypto.
Analyse des vecteurs de compromission
Le vecteur principal repose sur la confiance implicite accordée aux plateformes de visioconférence largement déployées dans le travail à distance. En usurpant l’interface graphique de Zoom ou Teams, les hackers contournent les filtres de sécurité du navigateur, car l’interaction se déroule dans une fenêtre d’application native. Le téléchargement du malware exploite souvent des failles de type drive‑by download, où le fichier est servi via un serveur HTTP non sécurisé ou un service de raccourcissement d’URL. Une fois installé, le logiciel espion ouvre une session persistante, permettant la collecte continue de nouvelles cibles à partir des contacts compromis.
Implications et contre‑mesures
Cette chaîne d’attaque montre que la simple vérification de l’expéditeur d’une invitation ne suffit pas ; la validation de l’URL et la comparaison de l’empreinte du client visio sont nécessaires. Les organisations du secteur crypto devraient désactiver les fonctions d’enregistrement automatique et imposer l’usage de salles d’attente avec authentification à deux facteurs. Du côté des utilisateurs, la désinstallation de versions non officielles de logiciels de visioconférence et la mise à jour régulière des correctifs de sécurité réduisent la surface d’exposition. Enfin, les équipes de réponse aux incidents doivent surveiller les flux réseau à la recherche de connexions vers des domaines récemment créés, typiques des campagnes de phishing vidéo.
