उत्तर कोरियाई हैकरों ने नकली Zoom कॉल से 400 मिलियन डॉलर चुराए

वीडियो कॉल के दूसरी ओर दिख रहा चेहरा किसी ऐसे दोस्त, सहकर्मी या निवेशक का था जिसे निशाना पहले से जानता था। लेकिन वह असल में रिकॉर्डिंग थी। FBI के मुताबिक, उत्तर कोरियाई हैकर लोगों को नकली Zoom और Teams मीटिंग में फँसा रहे हैं। वे पहले के पीड़ितों के वेबकैम से चुपके से रिकॉर्ड किए गए वीडियो चलाते हैं और फिर नए निशाने को यह कहकर मैलवेयर इंस्टॉल करने के लिए मना लेते हैं कि यह बस एक त्वरित तकनीकी सुधार है।

FBI इस अभियान को FaceStealer कहता है। इसमें दूर से कामकाज का सबसे सामान्य पल ही हमले का जरिया बन जाता है। न्योता किसी ऐसे व्यक्ति के असली अकाउंट से आता है जिस पर आप भरोसा करते हैं, मीटिंग का रूप उसी ऐप जैसा होता है जिसका आप रोज़ इस्तेमाल करते हैं, और सामने इंतज़ार कर रहा व्यक्ति ठीक वही लगता है जिसकी आपको उम्मीद थी। FBI का कहना है कि यह तरीका सुरक्षा के प्रति सजग और अनुभवी उपयोगकर्ताओं को भी धोखा दे सकता है।

इस अभियान का पैमाना बड़ा है। क्रिप्टोकरेंसी उद्योग और ओपन-सोर्स सॉफ़्टवेयर के रखरखावकर्ताओं के लिए जारी एक चेतावनी में FBI ने कहा है कि पिछले 18 महीनों में इस तरीके से 400 मिलियन डॉलर से अधिक की क्रिप्टोकरेंसी चुराई गई है। जाँचकर्ताओं ने इसके पीछे मौजूद क्लाउड ढाँचे को जब्त कर लिया है। साथ ही, उन्हें दुनिया भर में क्रिप्टो और Web3 क्षेत्र में काम करने वाले पीड़ितों के 900 से अधिक वेबकैम वीडियो भी मिले हैं, जिन्हें हैकरों ने बाद के हमलों में उनकी पहचान का रूप धरने के लिए वीडियो-संग्रह के तौर पर रखा था।

हर हमला ऐसे व्यक्ति से शुरू होता है जिसका अकाउंट पहले ही हैक हो चुका हो। हमलावर उस व्यक्ति के Telegram या किसी अन्य मैसेजिंग ऐप पर कब्ज़ा करते हैं, चैट का इतिहास पढ़ते हैं और उसके संपर्कों को उनके हिसाब से तैयार किए गए न्योते भेजते हैं—कभी हालचाल लेने, कभी किसी सहयोग पर चर्चा करने, तो कभी निवेश के बारे में बात करने के लिए। इसके बाद Calendly का न्योता आता है, जिसमें अक्सर मीटिंग का लिंक नहीं होता। लिंक कॉल से कुछ ही देर पहले भेजा जाता है और वह एक मिलते-जुलते नकली पते पर ले जाता है, जहाँ हैकरों के नियंत्रण वाला Zoom या Teams का नकली संस्करण खुलता है। वहाँ निशाने को वही जाना-पहचाना संपर्क दिखता है, अक्सर कई अन्य लोगों के साथ—और वे सभी पहले से रिकॉर्ड किए गए होते हैं।

फिर जाल का अगला हिस्सा आता है। नकली संपर्क की ओर से संदेश आता है कि निशाने की आवाज़ सुनाई नहीं दे रही, और उसे किसी अपडेट, चलाने के लिए स्क्रिप्ट या टर्मिनल में चिपकाने के लिए कोड की एक पंक्ति बताई जाती है। यह कथित सुधार ब्राउज़र कुकीज़ चुराने वाला प्रोग्राम, कीस्ट्रोक रिकॉर्ड करने वाला कीलॉगर, स्क्रीन रिकॉर्डर और बैकडोर इंस्टॉल कर देता है। लिंक पर क्लिक किए जाने के पल से ही हैकर निशाने के वेबकैम की रिकॉर्डिंग शुरू कर चुके होते हैं; इस तरह नया पीड़ित अगले शिकार को फँसाने वाला चेहरा बन जाता है। FBI के लॉस एंजिलिस फील्ड ऑफिस का नेतृत्व करने वाले पैट्रिक ग्रैंडी (Patrick Grandy) ने कहा, “अगर आप ऐसी कोई स्थिति सोच ही नहीं पा रहे जिसमें आप इसका शिकार बन सकते हैं, तो आप पर्याप्त रचनात्मक ढंग से सोच नहीं रहे हैं।”

यह खतरा क्रिप्टो वॉलेट तक सीमित नहीं है। FBI के मुताबिक, यही तरीका व्यापक रूप से इस्तेमाल होने वाले ओपन-सोर्स कोड के रखरखावकर्ताओं को निशाना बनाने के लिए भी अपनाया गया है। एक मामले में, हर हफ्ते करोड़ों बार डाउनलोड की जाने वाली एक बड़ी JavaScript लाइब्रेरी के रखरखावकर्ता ने किसी परिचित के साथ नकली Teams कॉल में हिस्सा लिया, सुझाया गया सुधार अपनाया और उसका कंप्यूटर संक्रमित हो गया। इसके बाद हैकरों ने उसकी पहुँच का इस्तेमाल कर लाइब्रेरी के डाउनलोड में दुर्भावनापूर्ण निर्भरताएँ शामिल कर दीं; इस सेंध का पता बाद में चला। FBI का कहना है कि npm—JavaScript पैकेज का मुख्य रजिस्ट्रेशन प्लेटफ़ॉर्म—पर रखरखावकर्ताओं और हाल में Rust डेवलपरों को भी निशाना बनाने की कोशिशें हुई हैं। एक रखरखावकर्ता को धोखा देकर ऐसा मैलवेयर लाखों लोगों तक पहुँचाया जा सकता है, जिन्होंने किसी कॉल में हिस्सा तक नहीं लिया।

कृत्रिम बुद्धिमत्ता की भी इसमें भूमिका है, हालाँकि डीपफेक को लेकर सुर्खियों से जितना अंदाज़ा हो सकता है, उससे कम। FBI के मुताबिक, समूह ने क्रिप्टो जगत की जानी-मानी हस्तियों के डीपफेक वीडियो बनाना शुरू किया है, जिन्हें बस धुँधली वेबकैम रिकॉर्डिंग जैसा दिखना होता है। फिर भी, यह अभियान अब भी मुख्य रूप से असली पीड़ितों से चुराए गए असली वीडियो पर निर्भर है। इसका मतलब है कि डीपफेक पहचानने वाला टूल ऐसी ज़्यादातर कॉल पकड़ नहीं पाएगा।

इस कार्रवाई के बाद भी कई सवाल अनसुलझे हैं। सर्वरों को बदला जा सकता है, और FBI के मुताबिक इस अभियान के पीछे उत्तर कोरियाई सरकारी हैकिंग समूह है, जिसे BlueNoroff, APT38 या Sapphire Sleet के नाम से जाना जाता है। उसके सदस्य उत्तर कोरिया से काम करते हैं, जहाँ तक अमेरिकी अदालतों की पहुँच नहीं है। FBI ने यह नहीं बताया कि उन 900 वीडियो में दिख रहे कितने लोगों का पैसा चोरी हुआ। कई मामलों में हैकरों ने वॉलेट खाली करने से पहले महीनों—कभी-कभी एक साल से भी अधिक—इंतज़ार किया और इस दौरान उसमें जमा रकम बढ़ने दी। इसलिए कुछ पीड़ितों को अब तक पता भी न हो कि उनका कंप्यूटर संक्रमित है।

FBI की सलाह साफ़ और व्यावहारिक है। मीटिंग में शामिल होने के लिए वेब लिंक के बजाय आधिकारिक Zoom या Teams ऐप खोलें और न्योते का कोड इस्तेमाल करें—खासकर तब, जब न्योता किसी नए या कम संपर्क में रहने वाले व्यक्ति से आया हो। जब तक आप न्योता देने वाले व्यक्ति को देख और सुन न लें, और उससे बात न कर लें, अपना कैमरा बंद रखें। कॉल ठीक करने के नाम पर कभी कोई स्क्रिप्ट न चलाएँ और न ही टर्मिनल में कोड चिपकाएँ। अगर कैलेंडर का न्योता मीटिंग लिंक के बिना आए और लिंक शुरू होने से कुछ मिनट पहले ही पहुँचे, तो सतर्क रहें और किसी दूसरे माध्यम से मीटिंग की पुष्टि करें। Telegram, WhatsApp और Slack पर मल्टीफैक्टर प्रमाणीकरण, लॉगिन अलर्ट और अपने-आप मिट जाने वाले संदेश चालू करें।

FBI ने 12 नवंबर को FaceStealer पर चेतावनी जारी की थी; उसी दिन न्याय विभाग ने जब्ती की घोषणा की। विभाग ने यह भी कहा कि उसे अदालत से अक्टूबर के आखिर में Binance एक्सचेंज से उत्तर कोरियाई हैकरों द्वारा चुराई गई क्रिप्टोकरेंसी में से 1.2 अरब डॉलर से अधिक की रकम जब्त करने या उस पर रोक लगाने की मंज़ूरी मिल गई है। अब तक 2.7 अरब डॉलर से अधिक की रकम फ्रीज़ की जा चुकी है और बाकी रकम वापस पाने का काम जारी है। FBI ने उन लोगों के लिए FaceStealer का एक अलग वेबपेज बनाया है जिन्हें लगता है कि उन्हें निशाना बनाया गया है।

टैग: साइबर सुरक्षा, डीपफेक, FBI, Zoom, उत्तर कोरिया, FaceStealer