В'єтнамські користувачі Facebook стали мішенню шкідливої кампанії «Змія».

Згідно з даними TechRadar , нове дослідження попереджає, що зловмисники використовують повідомлення Facebook для розгортання складного інструменту для крадіжки інформації на основі Python під назвою Snake.

Відповідно, дослідники компанії Cybereason, що займається рішеннями для безпеки, поділилися деталями цієї небезпечної атакуючої кампанії, заявивши, що головною метою Snake є крадіжка конфіденційних даних та інформації для входу у наївних користувачів. Схоже, що це відносно нова кампанія, вперше виявлена у серпні 2023 року, яка має ознаки націлювання на в'єтнамських користувачів.

Що стосується методів атаки, зловмисники надсилатимуть повідомлення з цікавим вмістом, часто згадуючи конфіденційне відео жертви, а також посилання для завантаження стиснутих RAR- або ZIP-файлів. Хоча вони здаються нешкідливими, при відкритті вони запускають ланцюг зараження, що включає два завантажувачі шкідливого програмного забезпечення, включаючи пакетний скрипт та cmd-скрипт. У якому cmd-скрипт відповідає за виконання інструменту Snake для крадіжки інформації з контрольованого зловмисником репозиторію GitLab.

Người dùng Facebook Việt Nam đang là mục tiêu của chiến dịch độc hại 'Snake'- Ảnh 1. — Повідомлення, що містять шкідливі посилання, поширюються через повідомлення у Facebook.

Cybereason визначив три варіанти Snake, третій з яких – виконуваний файл, створений PyInstaller та орієнтований на користувачів браузера Cốc Cốc, популярного у В'єтнамі.

Після збору дані для входу та файли cookie поширювалися на кількох платформах, включаючи Discord, GitHub та Telegram. Шкідливе програмне забезпечення також атакувало облікові записи Facebook, витягуючи інформацію про файли cookie, що може свідчити про те, що захоплення облікового запису мало на меті поширення шкідливого програмного забезпечення.

Схоже, що кампанія пов'язана з хакерами з В'єтнаму, оскільки, як стверджується, правила іменування контрольованих зловмисниками репозиторіїв містять в'єтнамські посилання у вихідному коді, такі як «hoang.exe» або «hoangtuan.exe», або посилання на GitLab, яке, схоже, пов'язане з іменем «Khoi Nguyen».

Cybereason також зазначив, що шкідливе програмне забезпечення також націлене на інші браузери, такі як Brave, Chromium, Google Chrome, Microsoft Edge, Mozilla Firefox та Opera.

Це відкриття сталося на тлі посиленої критики Facebook за ймовірну відсутність підтримки жертв викрадання облікових записів. Щоб захистити себе, користувачам рекомендується вживати запобіжних заходів безпеки, зокрема використовувати складні паролі та двофакторну автентифікацію (2FA).

Посилання на джерело