Cibercriminosos estão usando mensagens do Facebook para espalhar um ladrão de informações baseado em Python chamado Snake. O alerta foi emitido por pesquisadores da Cybereason, que descobriram a ação maliciosa.
Cibercriminosos usam o Facebook para espalhar o Snake
Os pesquisadores notaram que os agentes da ameaça mantêm três variantes diferentes do Python Infostealer. Duas dessas variantes são scripts regulares do Python, enquanto a terceira variante é um executável montado pelo PyInstaller. Depois que o malware desvia as credenciais do sistema infectado, ele as transmite para diferentes plataformas, como Discord, GitHub e Telegram, abusando de suas APIs.
A campanha está ativa pelo menos desde agosto de 2023, quando foi divulgada por um pesquisador de segurança cibernética no X. Ela parece ter como alvo proprietários de empresas com reclamações falsas + arquivo ZIP/rar com .bat.
Os atores da ameaça enviaram mensagens diretas do Facebook Messenger às vítimas, tentando induzi-las a baixar arquivos compactados, como arquivos RAR ou ZIP. Os arquivos contêm dois downloaders, um script em lote e um script cmd, com o downloader final usado para colocar a variante apropriada do Python Infostealer no sistema da vítima.
O arquivo arquivado contém um script BAT que é o primeiro downloader a iniciar a cadeia de infecção. O script BAT tenta baixar um arquivo ZIP por meio do comando cURL, colocando o arquivo baixado no diretório C:\Users\Public como myFile.zip. O script BAT gera outro comando do PowerShell, Expand-Archive, para extrair o script CMD vn.cmd do arquivo ZIP e prossegue com sua infecção.
Notícias Relacionadas
Tecnologia móvel
Samsung destaca avanço nas mensagens RCS com suporte no iOS
O suporte a RCS chega ao iOS com o iOS 18.1, permitindo que usuários de Android e iPhone aproveitem uma experiência de mensagens aprimorada e sem necessidade de redes sociais.
Mercado elétrico
Xiaomi atinge R$ 7,14 bilhões em receita com veículos elétricos no 3º trimestre de 2024
Xiaomi fecha o 3º trimestre de 2024 com R$ 7,14 bilhões em receita com veículos elétricos, impulsionado pelo sucesso da série SU7, apesar do prejuízo operacional.
O script CMD vn.cmd é o script principal responsável por baixar e executar o Python Infostealer.
O infostealer pode coletar dados confidenciais de diferentes navegadores da web, incluindo: Navegador Coc Coc, Google Chrome e muitos outros. O Coc Coc Browser é um navegador amplamente utilizado pela comunidade vietnamita. A seleção deste navegador também sugere que houve uma demanda específica para atingir a comunidade vietnamita em algum momento, aponta o Bleeping Computer.
Os pesquisadores notaram que o infostealer também é capaz de coletar informações de cookies específicas do Facebook.
Além de cookies e informações de credenciais, project.py despeja informações de cookies específicas do Facebook cookiefb.txt no disco. É provável que esse comportamento faça com que o Threat Actor sequestre a conta da vítima no Facebook, potencialmente para expandir sua infecção.
Os pesquisadores atribuem a campanha a indivíduos que falam vietnamita com base em alguns indicadores, incluindo comentários nos scripts, convenções de nomenclatura e a presença do navegador Coc Coc na lista de navegadores direcionados.
