NodeStealerがFacebook上のビジネスアカウントを狙う

進行中のキャンペーンでは、Facebook Business アカウントが、被害者の認証情報の収集を目的とした欺瞞的なメッセージの標的となっています。これらのメッセージは、Python ベースの NodeStealer マルウェアの亜種を利用したキャンペーンの一部であり、攻撃者がその後の悪意のある活動のためにこれらのアカウントを制御できるようになる可能性があります。

Netskope Threat Labs の研究者である Jan Michael 氏によると、この攻撃は主に南ヨーロッパと北米の被害者に影響を及ぼしており、その範囲はさまざまな業界に及びますが、特に製造サービスとテクノロジー部門に重点が置かれています。

2023 年 5 月に Meta によって最初に特定された NodeStealer は、元々は Web ブラウザーから Cookie とパスワードを盗み、Facebook、Gmail、Outlook などのプラットフォーム上のアカウントを侵害するように設計された JavaScript ベースのマルウェアでした。

パロアルトネットワークスのユニット 42 は最近、2022 年 12 月に発生した別の攻撃波を明らかにしました。これには、Python バージョンの NodeStealer が関与しており、その一部は暗号通貨の盗難を容易にするために適応されていました。

Netskope の最新の調査結果は、これらの攻撃を実行したベトナムの攻撃者が活動を再開した可能性が高く、同様の目的を持つ同じ地域の他の攻撃者が使用していた戦術を採用した可能性があることを示唆しています。

NodeStealer が悪意のあるメッセージを介してアーカイブで配信される

今週初め、Guardio Labs は、偽の侵害された個人アカウントのボットネットから発信された、Facebook Messenger 経由で送信される詐欺メッセージを含む関連戦術を明らかにしました。これらのメッセージは、NodeStealer マルウェアを含む ZIP または RAR アーカイブ ファイルを何も知らない受信者に配信します。

これと同じ方法が、Facebook のコンテンツ配信ネットワーク (CDN) でホストされている RAR ファイルを配布するための最初の手段として機能します。これらのアーカイブは、Facebook ビジネス ページの所有者または管理者にマルウェア ペイロードをダウンロードするよう説得するための餌として欠陥製品の画像を使用します。

実行すると、バッチ スクリプトが Chrome Web ブラウザを開き、被害者を無害な Web ページにリダイレクトします。同時に、PowerShell コマンドがバックグラウンドで実行され、Python インタープリターや NodeStealer マルウェアなどの追加のペイロードが取得されます。

NodeStealer マルウェアは、さまざまな Web ブラウザから資格情報や Cookie をキャプチャするだけでなく、システム メタデータを収集し、この情報を Telegram 経由で送信するように設計されています。

以前のバージョンと比較して、この新しい NodeStealer 亜種はバッチ ファイルを使用して Python スクリプトをダウンロードして実行し、複数のブラウザや Web サイトから資格情報や Cookie を盗むことができます。