FBI warnt vor FaceStealer: Gefälschte Videocalls zielen auf Open-Source-Maintainer
Das FBI hat am 12. November 2026 eine Warnung zur Masche FaceStealer veröffentlicht. Nordkoreanische Angreifer locken Opfer über gekaperte Messenger-Konten in gefälschte Zoom- und Teams-Besprechungen und lassen sie per angeblichem Tonproblem Schadcode starten. Zunehmend zielen sie auf Open-Source-Maintainer und deren Repository-Zugänge.
Das FBI warnt vor einer Masche nordkoreanischer Angreifer, die es „FaceStealer“ nennt. In einer FLASH-Warnung vom 12. November 2026 beschreibt die Behörde gefälschte Zoom- und Teams-Besprechungen, in denen heimlich aufgezeichnete Webcam-Videos früherer Opfer laufen. Am selben Tag gab das US-Justizministerium bekannt, dass Cloud-Infrastruktur der Kampagne beschlagnahmt wurde. Laut FBI haben die Täter damit in 18 Monaten Kryptowerte im Wert von mehr als 400 Millionen US-Dollar gestohlen.
Neu ist das Ziel: Die Angreifer nehmen zunehmend Entwickler und Maintainer von Open-Source-Software ins Visier, um an deren Rechner und Repository-Konten zu kommen. Betroffen sind Unternehmen mit Mitarbeitern, die Pakete veröffentlichen, Krypto-Bestände verwalten oder über Telegram, LinkedIn, Slack und Discord Einladungen zu Videocalls erhalten. Dort sollten Regeln für Besprechungen und die Absicherung der Messenger-Konten jetzt geprüft werden.
Was ist passiert?
Laut FBI beginnt jede Runde mit einem bereits kompromittierten Opfer. Die Angreifer übernehmen dessen Messenger-Konto, lesen Chatverläufe und schreiben im Namen des Opfers dessen Kontakte an, typischerweise mit Vorschlägen zum Austausch oder zu einer Zusammenarbeit. Die Terminabsprache läuft über Dienste wie Calendly, oft ohne Besprechungslink. Den Link schicken die Täter erst kurz vor dem Termin. Er führt auf eine Tippfehler-Domain wie teams[.]livemeet[.]us und dort zu einer Kopie von Zoom oder Teams.
In der gefälschten Besprechung spielen die Angreifer das aufgezeichnete Webcam-Video des bekannten Kontakts ab, oft ergänzt um weitere Videos, damit mehrere Teilnehmer anwesend wirken. Dann behaupten sie ein Tonproblem oder ein anderes technisches Problem und leiten das Ziel an, eine Update-Meldung anzuklicken, ein Skript auszuführen oder Code in das Terminal zu kopieren. Das installiert laut FBI einen Cookie-Dieb für den Browser, Keylogger, Bildschirmaufzeichnung und eine Hintertür. Schon ab dem Klick auf den Link zeichnen die Täter die Webcam des neuen Opfers auf. In mehreren gemeldeten Fällen stahlen sie erst Monate bis über ein Jahr später Kryptowerte und kaperten Messenger-Konten. Das FBI hat nach eigener Angabe mehr als 900 solcher Opfervideos sichergestellt.
Wer ist betroffen?
Das FBI ordnet die Kampagne der Gruppe zu, die unter Namen wie Sapphire Sleet, UNC1069, BlueNoroff und APT38 bekannt ist. Ziele sind vor allem Personen aus der Krypto- und Web3-Branche. Inzwischen versuchen die Täter laut FBI gezielt Zugänge von Open-Source-Maintainern zu erbeuten, unter anderem bei npm und zuletzt bei Rust-Crates. In diesem Jahr brachten die Täter den Maintainer einer bedeutenden JavaScript-Bibliothek mit mehreren zehn Millionen Downloads pro Woche dazu, Schadcode auszuführen, und legten mit seinem Zugang schädliche Abhängigkeiten an. Weil der Einbruch schnell entdeckt wurde, scheiterte der Angriff laut FBI knapp.
Wie kritisch ist das?
Technisch braucht der Angriff keine Schwachstelle, er setzt auf Vertrauen und auf einen Befehl, den das Opfer selbst ausführt. Gelingt er, haben die Täter einen vollständig kompromittierten Arbeitsrechner mit gespeicherten Sitzungen. Bei Maintainern kann das zu Lieferkettenangriffen auf potenziell Millionen Nutzer führen. Deepfakes bekannter Personen aus der Krypto- und Web3-Branche setzen die Täter laut FBI inzwischen ebenfalls ein, die Masche stützt sich aber weiterhin ganz überwiegend auf echte, gestohlene Videos.
Was sollten Admins jetzt tun?
- Inventar: Feststellen, wer im Unternehmen Veröffentlichungsrechte für Paketregistries und Repositories oder Zugriff auf Krypto-Wallets hat. Diese Personen gezielt auf die Masche hinweisen.
- Besprechungen: Laut FBI über die offizielle App mit Meeting-ID beitreten statt über Links, vor allem bei seltenen oder neuen Kontakten. Die Kamera erst einschalten, wenn der Einladende zu sehen und zu hören ist.
- Keine Terminal-Updates: Fordert eine Besprechung zu einem Skript oder zu kopiertem Code auf, abbrechen und die App getrennt aktualisieren.
- Gegenprüfen: Termine über einen zweiten Kanal bestätigen. Kalendereinladungen ohne Link mit spät nachgereichtem Link sind laut FBI typisch für die Täter.
- Konten härten: Telegram, WhatsApp, Slack und andere Messenger mit Mehrfaktor-Anmeldung und Anmeldewarnungen absichern, ablaufende Nachrichten nutzen.
- Im Verdachtsfall: Passwörter ändern, auch für Entwicklerkonten, alle Sitzungen abmelden, MFA aktivieren, Kontakte und bei betroffenen Arbeitsdaten den Arbeitgeber informieren. Kryptowerte auf eine neue Wallet mit neuer Seed-Phrase übertragen, erstellt auf einem Gerät, das nicht für den Kontakt mit den Tätern genutzt wurde.
Einordnung für Unternehmen
Für die meisten kleinen Firmen ist das kein Angriff auf die eigene Infrastruktur, sondern auf einzelne Menschen. Die Regel „keine Befehle aus Chats oder Besprechungen ausführen“ gehört deshalb in jede Awareness-Schulung, nicht nur für Entwickler. Die Indikatoren zur Kampagne stehen laut FBI in Berichten von Arctic Wolf, Jumpsec und Microsoft, auf die die Warnung verweist.
Passende Anleitungen auf S-EDV
- Fake-IT-Support in Teams: Angreifer nutzen externe Chats für Erstzugriff
- wfx-loot: Gekaperte GitHub-Konten schleusen Secret-Stealer in über 1.800 Repositories
- Zwei-Faktor-Authentifizierung (2FA/MFA) richtig einführen
