FBot は AWS をターゲットとする新たな悪意のあるツールです

最近発見された FBot という Python で開発されたハッキング ツールは、Web サーバー、クラウド プラットフォーム、コンテンツ管理システム、アマゾン ウェブ サービス (AWS)、Microsoft 365、PayPal、センドグリッドとTwilio。

セキュリティ研究者の Alex Delamotte 氏によると、FBot には、スパム攻撃のための認証情報収集、AWS アカウントをハイジャックするためのツール、PayPal やさまざまな SaaS アカウントへの攻撃を可能にする機能など、さまざまな機能が搭載されています。 Delamotte 氏は、IT セキュリティ専門メディア The Hacker News と共有した文書でこれらの調査結果を報告しました。

FBot は、AlienFox、GreenBot (Maintance としても知られる)、Legion、Predator などの他のクラウド ハッキング ツールの仲間入りを果たしていますが、AndroxGh0st のソース コードへの参照がないため、独特の存在として際立っています。昨年初めて特定された Legion と類似点がありますが、FBot は別個の存在とみなされます。

FBot の主な目的は、クラウド、SaaS、および Web サービスを侵害し、資格情報を収集して初期アクセスを取得することです。次にハッカーは、このアクセスをサイバー犯罪エコシステム内の他の関係者に販売することで収益化しようとします。

FBot には十分な装備が備わっています

FBot は、AWS や Sendgrid の API キーの生成、ランダムな IP アドレスの生成、リバース IP スキャナーの実行、PayPal アカウントと関連する電子メール アドレスの検証などのさまざまな機能を提供します。

興味深いことに、FBot が使用するスクリプトは、リトアニアのファッション デザイナーの小売販売 Web サイトである Web サイト「hxxps://www.robertkalinkin.com/index.php」を通じて PayPal API リクエストを開始します。これは、特定されたすべての FBot サンプルと一部の Legion Stealer サンプルで一貫して採用されている認証方法です。

さらに、FBot には、AWS Simple Email Service (SES) の電子メール設定の詳細を確認し、対象のアカウントの EC2 サービス クォータを決定する AWS 固有の機能が組み込まれています。 Twilio 関連の機能もあり、残高、通貨、接続されている電話番号などのアカウントに関する情報を収集します。

さらに、FBot には、Laravel 環境ファイルから資格情報を抽出する機能があります。研究者らは、2022 年 7 月に遡る FBot サンプルを特定し、実際に活発に使用されていることを示しています。ただし、このツールが積極的に維持されているかどうか、また他の脅威アクター間でどのように配布されているかは依然として不明です。