Вьетнамские пользователи Facebook подвергаются атаке вредоносной кампании «Змея»

По данным TechRadar , новое исследование предупредило, что злоумышленники используют сообщения Facebook для развертывания сложного инструмента для кражи информации на основе Python под названием Snake.

Соответственно, исследователи из компании по решениям безопасности Cybereason поделились подробностями этой опасной кампании атак, заявив, что главная цель Snake — украсть конфиденциальные данные и учетные данные для входа у наивных пользователей. Похоже, это относительно новая кампания, впервые обнаруженная в августе 2023 года и показывающая признаки того, что она нацелена на вьетнамских пользователей.

Что касается методов атаки, злоумышленники будут отправлять сообщения с контентом, который возбуждает любопытство жертвы, часто упоминая чувствительное видеоразоблачение жертвы, а также ссылки на загрузку сжатых файлов RAR или ZIP. Хотя они кажутся безвредными, при открытии они запускают цепочку заражения, включающую два загрузчика вредоносных программ, включая пакетный скрипт и скрипт cmd. Скрипт cmd отвечает за запуск инструмента кражи информации Snake из контролируемого злоумышленником репозитория GitLab.

Người dùng Facebook Việt Nam đang là mục tiêu của chiến dịch độc hại 'Snake'- Ảnh 1. — Сообщения, содержащие вредоносные ссылки, распространяются через сообщения Facebook.

Компания Cybereason выявила три варианта Snake, третий из которых представляет собой исполняемый файл, созданный PyInstaller и нацеленный на пользователей браузера Cốc Cốc, популярного во Вьетнаме.

После сбора логины и файлы cookie были распространены на нескольких платформах, включая Discord, GitHub и Telegram. Вредоносная программа также атаковала учетные записи Facebook, извлекая информацию из файлов cookie, что может указывать на то, что захват учетной записи был предназначен для распространения вредоносного ПО.

По-видимому, кампания связана с хакерами из Вьетнама, поскольку, как сообщается, соглашение об именовании репозиториев, контролируемых злоумышленниками, включает вьетнамские ссылки в исходном коде, такие как «hoang.exe» или «hoangtuan.exe», или путь GitLab, который, по-видимому, ссылается на имя «Khoi Nguyen».

Cybereason также отметила, что вредоносное ПО нацелено и на другие браузеры, такие как Brave, Chromium, Google Chrome, Microsoft Edge, Mozilla Firefox и Opera.

Открытие произошло на фоне усиленного внимания к Facebook из-за его предполагаемого отсутствия поддержки жертвам взлома аккаунтов. Чтобы защитить себя, пользователям рекомендуется принять меры предосторожности, особенно используя сложные пароли и двухфакторную аутентификацию (2FA).

Ссылка на источник