Vietnamese Facebook-gebruikers zijn het doelwit van de kwaadaardige 'Snake'-campagne

Volgens TechRadar waarschuwt een nieuw onderzoek dat slechteriken misbruik maken van Facebook-berichten om een geavanceerde Python-gebaseerde infostealertool genaamd Snake te implementeren.

Onderzoekers van beveiligingsbedrijf Cybereason hebben details gedeeld over deze gevaarlijke aanvalscampagne en stellen dat Snake's belangrijkste doel is om gevoelige gegevens en inloggegevens te stelen van naïeve gebruikers. Dit lijkt een relatief nieuwe campagne te zijn, die voor het eerst werd ontdekt in augustus 2023 en tekenen vertoont die gericht zijn op Vietnamese gebruikers.

Wat aanvalsmethoden betreft, sturen de aanvallers berichten met merkwaardige inhoud, vaak met vermelding van de gevoelige videobeelden van het slachtoffer, samen met links om gecomprimeerde RAR- of ZIP-bestanden te downloaden. Hoewel ze ogenschijnlijk onschadelijk zijn, activeren ze bij het openen een infectieketen met twee malwaredownloaders, waaronder een batchscript en een cmd-script. Het cmd-script is verantwoordelijk voor het uitvoeren van de Snake-tool voor het stelen van informatie vanuit de door de aanvaller beheerde GitLab-repository.

Người dùng Facebook Việt Nam đang là mục tiêu của chiến dịch độc hại 'Snake'- Ảnh 1. — Via Facebookberichten worden berichten verspreid die schadelijke links bevatten.

Cybereason heeft drie varianten van Snake geïdentificeerd. De derde is een uitvoerbaar bestand dat is gemaakt door PyInstaller en gericht is op gebruikers van de Cốc Cốc-browser, die populair is in Vietnam.

Nadat de inloggegevens en cookies waren verzameld, werden ze gedeeld via meerdere platforms, waaronder Discord, GitHub en Telegram. De malware richtte zich ook op Facebook-accounts door cookie-informatie te extraheren, wat erop zou kunnen wijzen dat de accountovername bedoeld was om malware te verspreiden.

Het lijkt erop dat de campagne verband houdt met hackers uit Vietnam. De naamgeving van de door de aanvallers beheerde repositories zou Vietnamese verwijzingen in de broncode bevatten, zoals 'hoang.exe' of 'hoangtuan.exe'. De GitLab-link lijkt ook gerelateerd te zijn aan de naam 'Khoi Nguyen'.

Cybereason merkte ook op dat de malware ook andere browsers aanvalt, zoals Brave, Chromium, Google Chrome, Microsoft Edge, Mozilla Firefox en Opera.

De ontdekking komt te midden van toenemende kritiek op Facebook vanwege het vermeende gebrek aan ondersteuning voor slachtoffers van accountkaping. Om zichzelf te beschermen, wordt gebruikers geadviseerd veiligheidsmaatregelen te nemen, met name het gebruik van complexe wachtwoorden en tweefactorauthenticatie (2FA).

Bronlink