Newshot 
美国联邦调查局（FBI）已确认，与朝鲜民主主义人民共和国（DPRK，即 North Korea）有关的威胁行为者在过去 18 个月中，作为代号为 FaceStealer 的社会工程学行动的一部分，窃取了价值超过 4 亿美元的加密货币。
作为美国政府宣布的一系列协同行动的一部分，用于实施这场"难以检测"行动的云端基础设施已被查封。
与此同时，美国司法部（DoJ）宣布，已获法院授权查封并限制与朝鲜有关的 TraderTraitor 行为者在入侵加密货币交易所 Binance 后于近期窃取的、价值超过 12 亿美元的加密货币。司法部补充说，这些被掠夺的数字资产被用于资助平壤的非法武器计划。
"朝鲜政权依赖大规模加密货币盗窃的收益来资助其非法武器计划，近年来窃取了数十亿美元，"FBI 网络部门运营主管 Brett Leatherman 在一份声明中表示。
"朝鲜网络行为者利用 FaceStealer 方案，通过欺骗性的社会工程学手段，积极针对加密货币和 Web3 领域的个人，在过去 18 个月中窃取了超过 4 亿美元。"
据司法部称，FaceStealer 依赖偷录的视频和深度伪造来为加密货币盗窃提供便利。该活动的某些方面与 Kaspersky 于 2025 年 10 月以 GhostCall 为名记录的一场行动相吻合。
该活动与一个与朝鲜有关、以经济利益为动机且活动频繁的威胁集群有关，该集群被追踪为 BlueNoroff，其代号还包括 APT38、CageyChameleon、CryptoCore、DangerousPassword、Nickel Gladstone、Sapphire Sleet、Stardust Chollima 和 UNC1069。
该行动通过从先前受害者被盗账户发出的视频会议邀请来诱骗目标。加入会议的目标其视频流会被录制，同时会议会播放目标所认识的先前一名或多名受害者的真实、预先录制的摄像头视频，以建立信任。
"朝鲜黑客还利用超级智能（SI）制作加密货币和 Web3 行业中知名且有影响力人物的深度伪造视频，这使得 FaceStealer 方案更加有效，"司法部表示。"他们再次在与目标的会议中使用这些深度伪造视频来获取目标的信任。"
会议开始几秒钟后，受害者会被提示一个模拟的技术故障，声称听不到他们的声音，并会收到一个用于解决这一并不存在的问题的链接。该"修复方法"是一种 ClickFix 风格的诱饵，旨在在受害者工作站上安装恶意软件并窃取加密货币，同时滥用目标对其他计算机基础设施的权限。
在 2026 年 7 月与 The Hacker News 分享的一份详尽报告中，JUMPSEC 揭示了这一社会工程学行动是如何建立在一个旨在冒充 Zoom 和 Microsoft Teams 等视频会议平台的钓鱼工具包之上的。这家网络安全公司将 FaceStealer 描述为一个受害者获取平台，它利用被攻陷的可信联系人作为途径，通过 Telegram 推动一条自我传播的攻击链。
FBI 称朝鲜黑客利用深度伪造视频通话窃取超过 4 亿美元加密货币
这包括长时间劫持 Telegram、LinkedIn、Slack 和 Discord 等社交媒体与通信账号，然后访问受害者的联系人列表，以锁定受害者的个人和职业圈子。
整个攻击过程如下——
- 攻陷受害者：这涉及收集加密货币钱包、助记词和其他有价值的访问权限；劫持其 Telegram 账号或其他通信应用并使其无法登录；获取其联系人和聊天记录；并在视频通话期间秘密录制他们。
- 利用受害者的 Telegram 账号：攻击者冒充受害者，代表其向其他联系人发送定制消息，以讨论投资机会为借口提议举行 Zoom 或 Teams 会议。
- 安排会议：如果目标表现出兴趣，攻击者会通过 Telegram 发送 Calendly 邀请来安排视频会议。在预定会议时间前不久，受害者的 Telegram 账号会被用来发送伪装成 Zoom（“uu01webzoom[.]us”）或 Teams（“teams.livemeet[.]us”）会议 URL 的仿冒域名链接。
- 利用录制视频：当目标加入虚假的 Zoom 会议时，攻击者会播放事先录制的可信联系人网络摄像头视频，并播放其他视频（录制的或深度伪造的视频），以营造会议中有多名参与者的印象。此外，使用 OpenAI ChatGPT 生成的头像图片被用作虚假通话中的静态头像占位符。
- 诱骗目标自行感染：攻击者向目标发送消息，声称存在音频问题或其他技术错误（例如已弃用的 Zoom SDK），并敦促其点击链接应用更新以解决问题。或者，也可能采取运行脚本，或将恶意代码复制粘贴到命令行或 Terminal 中的形式。这会导致部署恶意软件，从已被攻陷的设备中捕获敏感数据，实际上将目标变成下一个受害者。
- 重复循环：在受害者已被攻陷后，攻击者控制其设备和社交媒体账号，以将攻击传播给其联系人。
已知 BlueNoroff 发起的攻击专门针对在加密货币和 Web3 行业工作的个人，以及参与开源软件开发和维护的个人。
目标是获取对开发者设备及其控制的软件仓库账号的访问权限，以促成软件供应链攻击。值得注意的是，今年早些时候，FaceStealer 方案被用于针对流行的 Axios npm 软件包的维护者，以推送一个被植入木马的版本，该版本会投递跨平台远程访问木马（RAT）。
FBI 已查获超过 900 段受害者网络摄像头录像，这些录像被威胁行为者用于在后续攻击中冒充受害者。该机构表示，其“知悉朝鲜黑客还进行了其他几次尝试，目标是软件开发者、维护者以及下载量巨大的软件库”。
在 2026
“已识别目标中整整 80% 直接活跃于加密货币/区块链金融（54%）或相邻的金融与投资领域（26%），”这家网络安全公司当时指出。“仅 CEO 和创始人就占目标群体的 45%——接近一半。这凸显了 BlueNoroff 唯一聚焦的作战方向：能够接触加密货币资产、钱包基础设施、交易所平台或投资决策权的个人。”
此后，该活动范围有所扩大，已在 58 个国家识别出 677 个目标。超过 80% 的目标是创始人和 C 级高管。除了引入诸如伪造 Chrome PDF Viewer 更新之类的新诱饵主题外，该行动还整合了来自 ChatGPT、Google、SpaceXAI Grok 和 Wondershare AI Content Generator (AIGC) 的生成式 AI 技术，为攻击者提供图像素材、头像以及有说服力的合成参会者视频。
“在上游，侦察范围既扩大了，也变得更加刻意，”该公司补充说。“诱饵素材不仅从个人资料照片和以往受害者的网络摄像头画面中抓取，还从 YouTube 采访和会议演讲中抓取，由作案者进行屏幕录制。这使他们能够捕捉特定人物的外貌和声音——也许是创始人，也许是 CEO——然后制作虚假的会议画面，而不必直接入侵目标本人。”
每个新受害者都为推进攻击提供了路径。这种循环式作案手法仍然是社会工程行动的核心。
“结合其新的虚假媒体生成能力，以制作多样且可信的诱饵内容，这表明 BlueNoroff 在攻陷高价值个人方面的行动显著升级，这些个人控制着资金、签名密钥、敏感信息、经过认证的通信以及可信的职业关系，”Arctic Wolf 说。
从 FaceStealer 到 Contagious Interview
值得在此强调，FaceStealer 行动与 ClickFake Interview 不同；后者是 Contagious Interview 的一个变体，同样采用 ClickFix 风格的手法，在招聘主题行动中触发恶意软件执行。
与 FaceStealer 类似，这涉及攻击者在 LinkedIn 等平台上冒充招聘人员接触潜在目标，并分享旨在运行恶意软件的“技术评估”。在 LinkedIn 上分享的一篇帖子中，Delivery Hero 的工程经理 Alina Krasavina 详细讲述了她在 2026 年 10 月同一天如何被两名假招聘人员盯上，两者相隔 13 分钟。
“第一个发来了一份‘技术评估’：一个包含 113 个文件的 Next.js 项目。在 next.config.js 末尾，204 个空格之后，有一个后门，”Krasavina 说。“第二个没有发送任何 ZIP。在一次视频通话中，一名‘技术团队成员’要求我共享整个屏幕、下载一个代码仓库并运行它。当我说不时，他告诉我这是‘继续流程的要求’。通话结束后，我写信给招聘人员，要求换一种面试形式。大约一分钟后，她把我拉黑了。”
“这两次攻击的构建方式截然相反。第一个把精力放在代码上，几乎没放在招聘人员身上。第二个把精力放在人身上，而我甚至从未看到它的代码。”
根据日本、美国、澳大利亚和德国的网络安全与情报机构于 2026 年 9 月下旬发布的一份联合网络安全公告，这一长期行动估计已攻陷至少 30,000 台位于 100 个国家的设备。
这些攻击试验多种投递方式，以说服受害者运行恶意代码——
FBI 称朝鲜黑客利用深度伪造视频通话窃取逾 4 亿美元加密货币
- 将恶意软件嵌入编码测试、代码仓库或软件包中，让受害者在评估流程中运行它们。
- 利用 Microsoft Visual Studio Code (VS Code) 的 tasks.json 配置文件，使项目在 VS Code 中打开时自动触发恶意代码执行。
- 利用 .githooks/pre-commit 和 post-checkout 脚本，在首次提交或切换分支时触发恶意代码。
- 利用被木马化的 macOS 实用工具应用安装程序，通过 shell 脚本下载器投递 OtterCookie。
上个月，Sophos 披露，一名员工的公司 macOS 设备在 2026 年 9 月中旬遭到入侵，原因是该员工克隆了一个被伪装成求职面试编码任务的公开代码仓库，并将其作为工作区在 VS Code 中打开。
“该仓库包含一个武器化的 VS Code 工作区设置文件，替换了编辑器的集成终端配置文件，”这家网络安全公司表示。“当工作区中打开终端时，被修改的配置文件会静默下载并运行多阶段 payload。”
该 payload 是 BeaverTail，一个用于投递名为 InvisibleFerret 的 Python 后门的 JavaScript 加载器。这两个恶意软件家族都被归因于 Contagious Interview。
Sophos 表示，该恶意软件在设备内存中运行了约 26 小时，从 2026 年 9 月 14 日执行起，直到一天后设备重启。该公司补充说，这起事件没有影响其任何产品或服务，也没有影响客户数据或客户系统。
此外，JFrog 最近的研究发现，与该活动相关的威胁行为者甚至设立了一家名为 AccuraSoftHire 的诱饵公司，配有招聘网站、客户评价、LinkedIn 页面、主流招聘板上的职位广告，以及经过验证的招聘人员，目的是增加可信度，并最终诱骗候选人在被做手脚的带回家测试和视频验证环节中运行恶意软件。
“我们的研究表明，这些诱饵旨在通过人们依赖的检查：专业网站、LinkedIn 页面、主流招聘板上的职位广告，以及带有 LinkedIn 验证徽章的招聘人员，”JFrog Security Research 高级安全研究员 Guy Korolevski 在分享给 The Hacker News 的一份声明中表示。
“不能指望开发人员和其他拥有系统访问权限的员工自行识别这种情况，因此雇主需要制定规则。包含下载内容的面试任务只应在一次性虚拟机中运行，绝不能在工作笔记本电脑上运行。安全团队还应提醒员工不要下载未知文件，即使来源看似可信。开发人员还可以检查招聘人员个人资料的创建时间，以及公司在每个页面上的位置是否一致。”