FaceStealer: Wenn der Deepfake im Videocall zum Einfallstor in eure Repositories wird

Hallo, hier ist wieder Kora. Manchmal lese ich eine Meldung und denke mir: Das ist kein klassischer Hack mehr, das ist Sozialingenieurskunst mit Videotechnik. Genau so eine Geschichte hat jetzt das US-Justizministerium öffentlich gemacht – und sie geht uns als Entwickler- und Betriebsleute direkt etwas an.

Was hinter „FaceStealer“ steckt

Die Masche läuft laut den US-Behörden in etwa so ab: Die Angreifer nutzen Konten, die sie bei früheren Opfern übernommen haben, und laden darüber neue Zielpersonen zu einer Videokonferenz ein. Im Call erscheint dann ein bekanntes Gesicht – entweder als vorab aufgezeichneter Clip oder als Deepfake. Diese „Person“ klagt über ein technisches Problem und schiebt hilfsbereit einen Link nach, der angeblich die Lösung bringt. Dahinter steckt Malware.

Ist der Rechner einmal kompromittiert, wird Kryptogeld abgegriffen – und die Kette geht weiter, weil die Angreifer über die gekaperten Konten die nächsten Opfer ansprechen. Besonders unangenehm finde ich den zeitlichen Aspekt: In mehreren Fällen wurden Wallets und Kommunikationskonten erst Monate oder sogar über ein Jahr nach der Erstinfektion tatsächlich geplündert. Die Angreifer sitzen also geduldig in der Leitung und warten auf den richtigen Moment. Über 400 Millionen US-Dollar sollen auf diesem Weg zusammengekommen sein, das FBI hat außerdem mehr als 900 Videoaufnahmen beschlagnahmt, die von Betroffenen während solcher Calls entstanden sind.

Der Fokus verschiebt sich: von Krypto zu Open Source

Anfangs richtete sich die Kampagne vor allem gegen Menschen aus der Kryptobranche und dem Web3-Umfeld. Inzwischen nehmen die Täter laut Bericht aber verstärkt Personen ins Visier, die Open-Source-Software entwickeln und pflegen. Das Ziel ist nicht mehr nur eine Wallet, sondern der Zugriff auf Repositories.

Und das ist der Punkt, an dem es für uns alle unangenehm wird. Ein einzelner Maintainer mit Commit-Rechten an einem viel genutzten Paket ist ein Hebel, der in tausende Builds, Container-Images und Produktivsysteme hineinreicht. Die Behörden werten das als Vorbereitung auf Angriffe auf Software-Lieferketten – und genau so würde ich es auch lesen. Wer Hosting und Rechenzentrum betreibt, weiß: Die Abhängigkeiten in einem modernen Stack sind lang, und sehr vieles davon ist Open Source, das irgendwo von wenigen Leuten in ihrer Freizeit gepflegt wird.

Was wir daraus mitnehmen sollten

Ich will hier keine Panik verbreiten, aber ein paar Dinge sind aus meiner Sicht überfällig:

• Videocalls sind kein Identitätsnachweis mehr. Ein bekanntes Gesicht im Meeting beweist gar nichts. Wenn jemand im Call plötzlich einen Download oder ein Skript anbietet, ist das ein Stoppschild – unabhängig davon, wie vertraut die Person wirkt.
• Rückkanal über einen zweiten Weg. Kurz über einen anderen, bekannten Kanal nachfragen, ob die Einladung echt ist. Das kostet zwei Minuten und bricht die ganze Kette.
• Entwicklerrechner sind Produktionssysteme. Wer Commit- oder Deploy-Rechte hat, arbeitet faktisch an kritischer Infrastruktur. Getrennte Umgebungen, Hardware-Token statt reinem TOTP, signierte Commits und restriktive Tokens gehören dazu.
• Lange Verweildauer einplanen. Wenn zwischen Infektion und Schaden ein Jahr liegen kann, reicht es nicht, nur auf akute Alarme zu schauen. Logging mit sinnvoller Aufbewahrung und regelmäßige Reviews von Zugriffsrechten und Tokens sind Pflicht.
• Lieferkette inventarisieren. Wer nicht weiß, welche Pakete in seinen Images stecken, kann im Ernstfall auch nicht schnell reagieren. Eine aktuelle Stückliste der Abhängigkeiten ist Gold wert.

Und der Binance-Fall

Im selben Zuge hat das Justizministerium mitgeteilt, dass es eine richterliche Genehmigung gibt, 1,2 Milliarden US-Dollar aus der eingefrorenen Beute des Binance-Diebstahls zu beschlagnahmen. Dort waren Ende Oktober innerhalb weniger Stunden 6,3 Milliarden US-Dollar abgeflossen – nach monatelanger Vorbereitung mit vorgetäuschten Bewerbungsgesprächen, Malware und kompromittierten KI-Werkzeugen. Rund 2,85 Milliarden konnten eingefroren werden, Binance hat die Verluste nach eigenen Angaben weitgehend selbst ersetzt.

Mein Fazit: Die technische Absicherung von Servern und Netzen ist das eine – angegriffen wird aber zunehmend der Mensch davor, und zwar mit erstaunlich viel Aufwand und Geduld. Die beste Firewall hilft nicht, wenn der Maintainer im Videocall freiwillig den Installer startet. Darüber lohnt es sich, im Team mal offen zu sprechen, bevor der nächste „kurze Call wegen eines technischen Problems“ hereinflattert.

Bleibt wachsam und bis demnächst, eure Kora

Quelle: heise online