Nowy malware atakuje biznesowe konta na Facebooku
Masz profil firmowy na Facebooku? Uważaj na malware’a, przez który możesz je stracić.
W tym tekście (2)
Malware wymierzony w konta biznesowe na Facebooku
W ostatnich kilku tygodniach narasta zagrożenie związane z malwarem – NodeStealer. Cyberataki z wykorzystaniem tego złośliwego oprogramowania stają się coraz bardziej wyrafinowane i skomplikowane, naruszając bezpieczeństwo danych uwierzytelniających wielu firmowych kont.
Analizy ekspertów ds. cyberbezpieczeństwa wskazują, że kampania jest szczególnie aktywna w Europie i Ameryce Północnej, docierając do różnych sektorów, w tym usług produkcyjnych i technologii.
NodeStealer został odnotowany w systemie Meta po raz pierwszy w maju 2023 r. i pierwotnie działał jako złośliwe oprogramowanie JavaScript. Jego głównym celem było kradzież plików cookie i haseł z przeglądarek internetowych, co mogło prowadzić do naruszenia bezpieczeństwa kont np. na Facebooku, Gmailu czy Outlooku.
Jednak w zeszłym miesiącu organizacja Palo Alto Networks doniosło o kolejnej fali ataków, które miały miejsce już w grudniu 2022 r. Wersja złośliwego oprogramowania oparta na języku Python dodatkowo miała na celu kradzież kryptowalut.
Złośliwe linki wysyłane przez Messengera
Firma Guardio Labs wskazała, że atakujący wysyłają wiadomości ze złośliwymi linkami i załącznikami za pośrednictwem Messengera. Botnet składający się z fałszywych i przejętych kont osobistych dostarcza pliki archiwów ZIP lub RAR, które zawierają rzeczon e oprogramowanie.
Cyberatak polega na przekonaniu właścicieli lub administratorów firmowych stron na Facebooku do pobrania plików archiwów. To typowa zagrywka phishingowa. Po otworzeniu archiwum RAR lub ZIP skrypt wsadowy otwiera przeglądarkę i jednocześnie uruchamia polecenie programu PowerShell. Ten proces jest nie do wykrycia przez ofiarę i prowadzi do pobrania dodatkowych ładunków, w tym interpretera Pythona i złośliwego oprogramowania NodeStealer.
Według ekspertów ds. cyberbezpieczeństwa, nowy wariant NodeStealer różni się od poprzednich tym, że wykorzystuje pliki wsadowe do pobierania i uruchamiania skryptów w języku Python. Dzięki temu może kraść dane uwierzytelniające i pliki cookie z wielu przeglądarek i wielu witryn internetowych.