FBI公开朝鲜黑客FaceStealer：900段偷拍视频钓走4亿美元

导语：FBI 在11月12日的 FLASH 通报里，缴获了朝鲜黑客 FaceStealer 行动中900多段受害者的偷拍视频。黑客拿这些录像在假 Zoom、Teams 会议里扮演熟人，再以”系统故障”为由诱导目标装上木马。FBI 同时公开了六个阶段的完整攻击循环。

一、FBI公开了什么

2026年11月12日，美国联邦调查局（FBI）互联网犯罪投诉中心（IC3）发布编号 AC-111226-MS 的 FLASH 通报，标题只有一句：朝鲜黑客用900多名科技从业者的偷拍摄像头视频，实施4亿美元级别的加密货币盗窃。

FBI 给这套手法起了名字——FaceStealer（窃脸者），幕后团伙挂着蓝宝石飘雪（Sapphire Sleet）、蓝北极（BlueNoroff）、APT38、危险密码（Dangerous Password）等多个别名，指向同一批人：朝鲜国家支持型黑客。

二、FaceStealer是怎么转起来的

循环只有一句：先骗一个人，再拿这个人的脸去骗下一个人的熟人。

FBI 分六个阶段描述这条流水线。第一步是攻破一个已上钩的受害者：扫出他机器上的钱包和助记词，占用他的 Telegram 等加密通讯账号（ECA），拿到通讯录和聊天记录，同时录下他等待视频会议时开摄像头的那段画面。

第二步是拿这个账号发邀请。黑客冒充受害者本人给联系人发消息，约 Zoom 或 Teams 会话，话术是”叙叙旧””聊聊合作””谈谈投资机会”。手里有历史聊天记录，高价值目标收到的私信完全贴合过去的语气。

第三步是递假链接。目标答应后，黑客发 Calendly（在线日程）定时间，临开会前才甩出”Zoom 链接”。FBI 点名了两个仿冒域名：uu01webzoom.us、teams.livemeet.us，点进去就是一套和正版几乎一样的假会议界面。

第四步播放录像。目标进会时已在”等候室”等着被放行，黑客播放受害者录像，必要时再放几段别的人，凑出”多人参会”的效果。

第五步是压榨。黑客以受害者身份私聊目标，说你这边听不到声音、系统出问题了，要更新客户端，然后引导他点”更新”、跑脚本或把代码复制进命令行。目标照做的瞬间，Cookie 窃取器、键盘记录器、屏幕截取程序和后门全部落地，摄像头也被打开录像，成为下一个素材。

第六步，循环回到第一步。

三、900段偷拍视频库

FBI 已缴获并识别出超过900段受害者的偷拍视频，全部用于在后续攻击中冒充真人。

这些视频的价值在于”合规感”。脸是熟人，语气是熟人，连寒暄节奏都对得上。目标看到的每个像素都是提前录好的，唯一真实的是屏幕前那个正在”修电脑”的自己。

更麻烦的是，黑客已用超级智能（SI）批量生成深度伪造视频，瞄准加密和 Web3 领域有名有姓的人物：拿公开照片生成逼真假人，塞进假会议当”其他参会者”，质量只要骗过摄像头就行。FBI 同时强调，目前主力仍是真实的受害者录像。

四、差一步就污染开源供应链

这条链子瞄准的不只是钱包。今年早些时候，黑客盯上了一个每周下载量数千万次的 JavaScript 库维护者，用的还是同一套路——假 Teams 会议、多人参会、其中有维护者认识的人，再借”系统排障”把恶意程序送进他的机器。拿到仓库权限后，攻击者往库里塞恶意依赖，随正常下载分发到千家万户。要不是响应够快，这就是百万级投毒。

FBI 还知道多起同类尝试，目标包括 NPM 维护者，最近已盯上 Rust crate 维护者。