Una videollamada aparentemente normal puede convertirse en la puerta de entrada a un robo de criptomonedas. El Departamento de Justicia de Estados Unidos anunció que desarticuló la infraestructura en la nube utilizada por una operación norcoreana llamada FaceStealer, vinculada con más de 400 millones de dólares sustraídos durante 18 meses. La campaña combinó ingeniería social, videos manipulados y programas maliciosos para engañar a personas del sector cripto y a desarrolladores.
El caso también expuso el alcance internacional del esquema: investigadores de Arctic Wolf identificaron 677 objetivos en 58 países, con atención especial a fundadores de empresas y altos directivos. La operación no se limitó a una falsa reunión; aprovechó cuentas robadas, relaciones de confianza y supuestos errores técnicos para conseguir que las propias víctimas instalaran el malware.
Así funcionaba FaceStealer: la confianza como señuelo
De acuerdo con el Departamento de Justicia y el FBI, los atacantes tomaban control de perfiles de comunicación pertenecientes a víctimas previas. Desde esas cuentas contactaban a colegas, amistades o colaboradores y enviaban invitaciones a reuniones virtuales con distintos pretextos. Los mensajes podían aparecer en servicios como Telegram, LinkedIn, Slack y Discord.
Cuando el objetivo entraba a la llamada, los operadores podían reproducir grabaciones de webcam de personas que ya conocía. El material daba la impresión de que contactos confiables estaban presentes y ayudaba a reducir las sospechas. Las autoridades también describieron el uso de deepfakes de figuras conocidas, especialmente del entorno de las criptomonedas y Web3, para reforzar la apariencia de legitimidad.
El siguiente paso era provocar un supuesto problema técnico: por ejemplo, afirmar que el micrófono o el audio no funcionaban. La persona recibía un enlace o una instrucción para instalar una “solución”. En realidad, ese arreglo descargaba malware capaz de robar credenciales y datos relacionados con criptomonedas, además de abrir acceso a cuentas y contactos. En algunos casos, los atacantes esperaban meses —incluso más de un año— antes de actuar, según el FBI.
Más de 900 videos y una amenaza para el software abierto
El material grabado también alimentaba la siguiente fase de la operación. El FBI informó que identificó y obtuvo, bajo una orden federal, más de 900 videos de webcam de personas afectadas. El Departamento de Justicia señaló que los atacantes aprovechaban las listas de contactos y las aplicaciones sociales de cada víctima para encontrar nuevos objetivos. Así, una cuenta comprometida podía servir como puente para acercarse a otra persona que reconociera la cara o el nombre de quien aparecía en la invitación.
Los blancos incluían a profesionales de empresas de criptomonedas y Web3, pero el esquema también se extendió a quienes mantienen proyectos de software de código abierto. El FBI describió intentos de acceso contra desarrolladores de paquetes de JavaScript y Rust. Uno de los episodios apuntó al responsable de una biblioteca de JavaScript con decenas de millones de descargas semanales: la intrusión se detectó a tiempo y el ataque fue frenado antes de que el código malicioso se propagara.
Investigadores de seguridad atribuyeron FaceStealer al grupo BlueNoroff, asociado por distintas fuentes con operaciones norcoreanas. Esa atribución no significa que cada robo de criptomonedas mencionado en el anuncio pertenezca al mismo incidente. Las autoridades estadounidenses incautaron la infraestructura en la nube empleada por FaceStealer; el comunicado no afirma que los más de 400 millones de dólares de esa campaña hayan sido recuperados.
Los 2,700 millones congelados corresponden a otro caso
El mismo anuncio del Departamento de Justicia incluyó una segunda acción, separada de FaceStealer: los esfuerzos para bloquear fondos robados en el ataque contra Binance. El gobierno estadounidense y empresas privadas congelaron más de 2,700 millones de dólares de ese robo. Dentro de esa cifra, el Departamento de Justicia ya obtuvo autorización judicial para incautar o restringir más de 1,200 millones; no se trata de otros 1,200 millones adicionales.
La distinción importa porque FaceStealer y el ataque a Binance son operaciones diferentes. El propio reporte de BleepingComputer separa la campaña de videollamadas falsas del robo atribuido por el FBI al grupo TraderTraitor. El bloqueo de activos de Binance forma parte de las medidas para rastrear y recuperar fondos, mientras que en FaceStealer la acción principal anunciada fue desactivar la infraestructura usada para los engaños y perseguir a sus operadores.
Cómo reducir el riesgo de una falsa reunión
La recomendación central del FBI es tratar con cautela las invitaciones inesperadas, incluso cuando parecen llegar de alguien conocido. Conviene confirmar la reunión por un canal independiente y entrar mediante las aplicaciones oficiales, con un código de invitación cuando corresponda. También es mejor desconfiar de enlaces, instaladores o scripts presentados como una solución improvisada a un fallo de audio o video. Si una persona comparte una instrucción técnica durante una llamada, verificarla por separado puede evitar que el supuesto “arreglo” entregue el control del equipo.
FaceStealer muestra por qué las defensas no dependen únicamente de reconocer archivos sospechosos: el primer engaño puede ocurrir antes de que exista una descarga, mediante la suplantación de una relación laboral o personal. Mantener actualizados los dispositivos, limitar permisos y evitar ejecutar comandos que no se entienden reduce el margen de los atacantes, pero la verificación independiente sigue siendo esencial cuando una reunión o solicitud aparece sin aviso.
La operación también deja una alerta para el ecosistema de software: comprometer a una persona con acceso a proyectos abiertos puede abrir una ruta hacia dependencias utilizadas por muchas organizaciones. Por eso, los equipos de desarrollo deben revisar cuidadosamente invitaciones y cambios no solicitados, además de proteger sus cuentas y repositorios. Las acciones de Estados Unidos interrumpieron una parte de la infraestructura de FaceStealer, pero las autoridades advierten que las campañas norcoreanas siguen buscando nuevas formas de robar activos y comprometer cadenas de suministro.
Para más noticias de tecnología, cultura geek, gadgets y entretenimiento, visita: GeekAndLife.com.mx
Descubre más contenido en nuestras redes: Instagram | YouTube | TikTok
Fuente: BleepingComputer