Ago 02, 2023 Marina Londei Attacchi, Minacce, Minacce, News, Phishing, RSS 0

I ricercatori di Unit 42 hanno scoperto una campagna di phishing volta a ottenere gli account business di Facebook. La campagna distribuiva un infostealer offrendo strumenti quali modelli di fogli di calcolo per il business.

L’attività è parte di un trend ormai in aumento da luglio dello scorso anno, quando i ricercatori hanno individuato Ducktail, un altro infostealer che colpiva gli account business di Facebook. Attacchi analoghi si sono ripetuti lo scorso marzo con FakeGPT, una finta estensione Chrome di ChatGPT che sottraeva gli account Ad del social, e a maggio con NodeStealer, uno stealer in grado di sottrarre i cookie dal browser per ottenere il controllo degli account Facebook.

Pexels

Questa nuova campagna è attiva da dicembre 2022 e non è mai stata segnalata prima d’ora. L’infostealer condivide molte somiglianze con NodeStealer ma, mentre questo è scritto in JavaScript, il nuovo malware è scritto in Python e prevede due varianti con funzionalità aggiuntive.

Oltre a entrare in possesso degli account business di Facebook, il nuovo infostealer è anche in grado di sottrarre credenziali dal browser e usarle per altri attacchi.

Le due varianti, pur colpendo entrambe gli account business del social di Meta, presentano alcune differenze importanti: soltanto una delle due si occupa di ottenere il controllo dell’account, mentre l’altra si limita a raccogliere le informazioni del profilo; quest’ultima è però in grado di scaricare malware aggiuntivi e disabilitare Windows Defender.

D’altra parte, la prima vanta la capacità di individuare la presenza di tool per l’analisi dei malware ed eventualmente auto-distruggersi, oltre a essere in grado di accedere al contenuto delle email della vittima.

Pixabay

Non ci sono ancora conferme sull’identità degli attaccanti dietro l’infostealer ma, stando ad alcuni indizi presenti nel codice delle varianti, sembra che il gruppo sia vietnamita, come nel caso di Ducktail e NodeStealer.

Al momento, spiega Unit 42, la campagna sembra non essere più attiva, ma è possibile che gli attaccanti continuino a perfezionare il malware per usarlo in attacchi futuri; per questo i ricercatori invitano i possessori degli account Facebook business a prestare la massima attenzione a link sospetti e ad abilitare l’autenticazione multifattore.