Hackers estão visando contas comerciais no Facebook.

Segundo o The Hacker News , os ciberataques direcionados a contas da Meta Business e do Facebook tornaram-se generalizados no último ano devido aos malwares Ducktail e NodeStealer, utilizados para atacar empresas e indivíduos ativos no Facebook. Entre os métodos utilizados pelos cibercriminosos, a engenharia social desempenha um papel importante.

As vítimas são abordadas por meio de diversas plataformas, desde o Facebook e LinkedIn até o WhatsApp e portais de trabalho freelance. Outro mecanismo de distribuição conhecido é o envenenamento de mecanismos de busca para atrair usuários a baixar versões falsas do CapCut, Notepad++, ChatGPT, Google Bard e Meta Threads... Essas são versões criadas por cibercriminosos para implantar malware nos computadores das vítimas.

É comum que grupos de cibercriminosos usem serviços de encurtamento de URLs e o Telegram para comando e controle, e serviços legítimos de nuvem como Trello, Discord, Dropbox, iCloud, OneDrive e Mediafire para hospedar malware.

Os agentes por trás do Ducktail atraem vítimas com projetos de marketing e branding para comprometer as contas de indivíduos e empresas que operam na plataforma de negócios da Meta. Os alvos em potencial são direcionados a publicações falsas no Upwork e no Freelancer por meio de anúncios no Facebook ou mensagens InMail do LinkedIn, que contêm links para arquivos maliciosos disfarçados de descrições de vagas.

Pesquisadores do Zscaler ThreatLabz afirmam que o Ducktail rouba cookies de navegador para sequestrar contas comerciais do Facebook. Os produtos dessa operação (contas de redes sociais hackeadas) são vendidos no mercado negro, onde são precificados de acordo com sua utilidade, geralmente variando de US$ 15 a US$ 340.

Diversas cadeias de infecção observadas entre fevereiro e março de 2023 envolveram o uso de atalhos e arquivos PowerShell para baixar e executar malware, demonstrando uma evolução contínua nas táticas dos atacantes.

Essas atividades maliciosas também foram atualizadas para coletar informações pessoais de usuários do X (antigo Twitter), TikTok Business e Google Ads, além de utilizar cookies roubados do Facebook para gerar anúncios fraudulentos de forma automatizada e elevar privilégios para realizar outras atividades maliciosas.

O método utilizado para assumir o controle da conta da vítima consiste em adicionar o endereço de e-mail do hacker à conta e, em seguida, alterar a senha e o endereço de e-mail da vítima para bloqueá-la do serviço.

A empresa de segurança WithSecure afirmou que uma nova funcionalidade observada em amostras do Ducktail desde julho de 2023 é o uso do RestartManager (RM) para encerrar processos que bloqueiam o banco de dados do navegador. Essa funcionalidade é frequentemente encontrada em ransomware, pois os arquivos usados por processos ou serviços não podem ser criptografados.

Tội phạm mạng Việt Nam đang nhắm vào các tài khoản doanh nghiệp trên Facebook - Ảnh 1. — Algumas propagandas falsas têm o objetivo de enganar as vítimas para que baixem e executem malware em seus computadores.

Pesquisadores da Zscaler afirmaram ter descoberto infecções provenientes de contas comprometidas do LinkedIn pertencentes a usuários que trabalham com marketing digital, alguns com mais de 500 conexões e 1.000 seguidores, o que facilitou os golpes dos cibercriminosos.

Acredita-se que o Ducktail seja uma das muitas variantes de malware que cibercriminosos vietnamitas estão usando para realizar golpes. Existe um clone do Ducktail chamado Duckport, que vem roubando informações e sequestrando contas da Meta Business desde o final de março de 2023.

A estratégia do grupo cibercriminoso que utiliza o Duckport consiste em atrair vítimas para sites relacionados à marca que estão imitando e, em seguida, redirecioná-las para baixar arquivos maliciosos de serviços de hospedagem de arquivos como o Dropbox. O Duckport também possui novos recursos, ampliando sua capacidade de roubar informações e sequestrar contas, capturar telas ou abusar de serviços online de anotações para substituir o Telegram e enviar comandos para o computador da vítima.

Pesquisadores afirmam que as ameaças no Vietnã apresentam um alto grau de sobreposição em termos de capacidades, infraestrutura e vítimas. Isso demonstra uma relação positiva entre grupos criminosos, ferramentas compartilhadas, táticas e técnicas. Trata-se de um ecossistema quase semelhante ao modelo de ransomware como serviço, porém focado em plataformas de mídia social como o Facebook.

Link da fonte