Hackers vietnamitas hacen phishing para víctimas que utilizan Messenger

Un reciente ataque de phishing utiliza Facebook Messenger para distribuir mensajes que contienen archivos adjuntos dañinos. Estos mensajes se envían desde una gran cantidad de cuentas personales inventadas y comprometidas, con el objetivo final de obtener control sobre las cuentas de los destinatarios.

Esta campaña, que se remonta a un grupo con sede en Vietnam, emplea un pequeño archivo adjunto comprimido. Dentro de este archivo adjunto, hay un potente script de robo basado en Python que se implementa a través de un proceso de varias etapas que emplea técnicas de ofuscación sencillas pero efectivas. El investigador de Guardio Labs, Oleg Zaytsev, hizo un análisis de esta campaña, que se publicó el fin de semana.

Archivos maliciosos utilizados como cebo

En estos ataques, conocidos como "MrTonyScam", las víctimas potenciales reciben mensajes que las alientan a hacer clic en archivos adjuntos RAR y ZIP. Al hacer clic en estos archivos adjuntos se activa la implementación de un cuentagotas, que recupera el componente de la siguiente etapa desde un repositorio de GitHub o GitLab.

Esta carga útil de la siguiente etapa es otro archivo que contiene un archivo CMD. Dentro de este archivo CMD se encuentra un script de robo basado en Python ofuscado, diseñado para desviar todas las cookies y credenciales de inicio de sesión de varios navegadores web. Estos datos robados luego se envían a un punto final API de Telegram o Discord controlado por el actor de la amenaza.

El adversario emplea una táctica astuta, ya que elimina todas las cookies robadas después de la extracción. Esta acción efectivamente cierra la sesión de las víctimas en sus cuentas. Posteriormente, los estafadores aprovechan las cookies robadas para cambiar las contraseñas de las víctimas y tomar el control de sus cuentas.

La conexión del actor de amenazas con Vietnam es evidente en la presencia de referencias al idioma vietnamita dentro del código fuente del script de robo de Python. Además, la inclusión de Coc Coc, un navegador basado en Chromium popular en Vietnam, respalda aún más este vínculo.

Aunque cabe señalar que iniciar la infección requiere la interacción del usuario para descargar, extraer y ejecutar el archivo adjunto, Guardio Labs ha informado de una alta tasa de éxito para esta campaña. Se cree que durante los últimos 30 días, aproximadamente 1 de cada 250 destinatarios ha sido víctima de este ataque.

La mayoría de los compromisos se han observado en países como Estados Unidos, Australia, Canadá, Francia, Alemania, Indonesia, Japón, Nepal, España, Filipinas y Vietnam, entre otros.