FBot är ett nytt skadligt verktyg som riktar in sig på AWS

Ett nyligen upptäckt hackverktyg vid namn FBot, utvecklat i Python, riktar sig nu mot en rad onlinetjänster inklusive webbservrar, molnplattformar, innehållshanteringssystem och mjukvara som en tjänst-plattformar som Amazon Web Services (AWS), Microsoft 365, PayPal, Sendgrid och Twilio.

Enligt säkerhetsforskaren Alex Delamotte är FBot utrustad med olika funktioner såsom insamling av autentiseringsuppgifter för spam-attacker, verktyg för att kapa AWS-konton och funktioner som möjliggör attacker mot PayPal och olika SaaS-konton. Delamotte rapporterade dessa fynd i ett dokument som delas med IT-säkerhetsbutiken The Hacker News.

Medan FBot ansluter sig till raden av andra molnhackningsverktyg som AlienFox, GreenBot (även känd som Maintance), Legion och Predator, sticker den ut som distinkt på grund av sin brist på referens till någon källkod från AndroxGh0st. Även om det delar likheter med Legion, som först identifierades förra året, anses FBot vara en separat enhet.

Det primära syftet med FBot är att kompromissa med moln, SaaS och webbtjänster och få första åtkomst genom att samla in autentiseringsuppgifter. Hackarna försöker sedan tjäna pengar på denna tillgång genom att sälja den till andra aktörer i cyberbrottslighetens ekosystem.

FBot kommer välutrustad

FBot erbjuder en rad funktioner, inklusive generering av API-nycklar för AWS och Sendgrid, samt möjligheter att producera slumpmässiga IP-adresser, köra omvända IP-skannrar och validera PayPal-konton tillsammans med tillhörande e-postadresser.

Intressant nog initierar skriptet som används av FBot PayPal API-förfrågningar via webbplatsen "hxxps://www.robertkalinkin.com/index.php", som är en detaljhandelswebbplats för en litauisk modedesigner. Detta är den autentiseringsmetod som konsekvent används av alla identifierade FBot-prover och vissa Legion Stealer-prover.

Dessutom innehåller FBot AWS-specifika funktioner för att kontrollera AWS Simple Email Service (SES) e-postkonfigurationsdetaljer och bestämma det riktade kontots EC2-tjänstkvoter. Twilio-relaterad funktionalitet finns också för att samla information om kontot, inklusive saldo, valuta och anslutna telefonnummer.

Dessutom har FBot förmågan att extrahera referenser från Laravel-miljöfiler. Forskare har identifierat FBot-prover som går tillbaka till juli 2022, vilket indikerar aktiv användning i naturen. Det är dock fortfarande oklart om verktyget underhålls aktivt och hur det fördelas bland andra hotaktörer.