Vietnamesische Hacker suchen per Messenger nach Opfern
Ein aktueller Phishing-Angriff nutzt den Facebook Messenger, um Nachrichten mit schädlichen Anhängen zu verbreiten. Diese Nachrichten werden von einer großen Anzahl gefälschter und kompromittierter persönlicher Konten gesendet, mit dem ultimativen Ziel, die Kontrolle über die Konten der Empfänger zu erlangen.
Diese Kampagne, die auf eine in Vietnam ansässige Gruppe zurückgeführt werden kann, verwendet einen kleinen komprimierten Dateianhang. In diesem Anhang befindet sich ein leistungsstarkes Python-basiertes Diebstahlskript, das in einem mehrstufigen Prozess eingesetzt wird, der unkomplizierte, aber effektive Verschleierungstechniken nutzt. Der Guardio Labs-Forscher Oleg Zaytsev lieferte eine Analyse dieser Kampagne, die am Wochenende veröffentlicht wurde.
Schädliche Archive als Köder genutzt
Bei diesen als „MrTonyScam“ bezeichneten Angriffen erhalten potenzielle Opfer Nachrichten, die sie dazu auffordern, auf RAR- und ZIP-Archivanhänge zu klicken. Durch Klicken auf diese Anhänge wird die Bereitstellung eines Droppers ausgelöst, der die Komponente der nächsten Stufe entweder aus einem GitHub- oder GitLab-Repository abruft.
Diese Nutzlast der nächsten Stufe ist eine weitere Archivdatei, die eine CMD-Datei enthält. In dieser CMD-Datei befindet sich ein verschleiertes Python-basiertes Diebstahlskript, das alle Cookies und Anmeldeinformationen verschiedener Webbrowser abzapfen soll. Diese gestohlenen Daten werden dann an einen vom Bedrohungsakteur kontrollierten Telegram- oder Discord-API-Endpunkt gesendet.
Der Angreifer wendet eine raffinierte Taktik an, indem er alle gestohlenen Cookies nach der Extraktion löscht. Durch diese Aktion werden die Opfer effektiv von ihren Konten abgemeldet. Anschließend nutzen die Betrüger die gestohlenen Cookies aus, um die Passwörter der Opfer zu ändern und die Kontrolle über deren Konten zu übernehmen.
Die Verbindung des Bedrohungsakteurs zu Vietnam wird durch das Vorhandensein vietnamesischer Sprachreferenzen im Quellcode des Python-Stealing-Skripts deutlich. Darüber hinaus unterstützt die Einbeziehung von Coc Coc, einem in Vietnam beliebten Chromium-basierten Browser, diesen Link zusätzlich.
Obwohl zu beachten ist, dass zum Auslösen der Infektion eine Benutzerinteraktion zum Herunterladen, Extrahieren und Ausführen des Anhangs erforderlich ist, hat Guardio Labs eine hohe Erfolgsquote für diese Kampagne gemeldet. Man geht davon aus, dass in den letzten 30 Tagen einer von 250 Empfängern Opfer dieses Angriffs geworden ist.
Die meisten Kompromisse wurden unter anderem in Ländern wie den Vereinigten Staaten, Australien, Kanada, Frankreich, Deutschland, Indonesien, Japan, Nepal, Spanien, den Philippinen und Vietnam beobachtet.
