La campaña de ataque utiliza un ladrón de información basado en PHP para atacar las cuentas comerciales de Facebook
Durante el año pasado, un grupo de atacantes atacó a los titulares de cuentas comerciales de Facebook mediante la difusión de malware para robar información a través de anuncios maliciosos de Google o perfiles de Facebook falsos. La cadena de infección utiliza la carga lateral de DLL a través de aplicaciones legítimas, así como ejecutables independientes escritos en varios lenguajes de programación, como Rust, Python y PHP.
«Hemos visto a SYS01stealer apuntar a trabajadores de infraestructuras gubernamentales críticas, empresas manufactureras y otras industrias», dijeron investigadores de la firma de seguridad Morphisec. un nuevo informe. “Los actores de amenazas detrás de la campaña apuntan a las cuentas comerciales de Facebook que utilizan anuncios de Google y perfiles de Facebook falsos que promocionan cosas como juegos, contenido para adultos y software descifrado, etc. para engañar a las víctimas para que creen un archivo de descarga malicioso. El ataque está diseñado para robar información confidencial, incluidas las credenciales de inicio de sesión, las cookies y los anuncios de Facebook y la información de la cuenta comercial».
Esta campaña fue demasiado reportado en el pasado por investigadores de Zscaler que lo atribuyeron COLA DE PATO, un grupo de piratería con sede en Vietnam que también se especializa en infiltrarse en cuentas comerciales de Facebook. Sin embargo, los investigadores de Morphisec consideran que esta asignación es incorrecta. Los ataques de DUCKTAIL, que han estado ocurriendo desde 2021, parecen ser más específicos y sofisticados, con el objetivo final de abusar de los métodos de pago asociados con las cuentas secuestradas para publicar anuncios en la plataforma.
Variaciones de instalación de prueba de DLL
Los investigadores de Morphisec han rastreado y analizado varios de los ataques de SYS01stealer que datan de mayo de 2022 y han visto cómo evolucionaron las diferentes variaciones con el tiempo. Casi todos los ataques, ya sea desde o a través del perfil de Facebook malvertización, contienen un archivo ZIP presentado como juegos, películas, aplicaciones descifradas e incluso desnudos. Este archivo generalmente contiene un archivo ejecutable que forma parte de una aplicación legítima junto con una DLL maliciosa que se carga cuando se ejecuta el archivo ejecutable.
Esta técnica se llama DLL la página se carga o el secuestro de DLL y afecta a las aplicaciones legítimas que están configuradas para cargar archivos DLL específicos con rutas relativas. En lugar de especificar una ubicación exacta donde encontrar una DLL usando una ruta absoluta, la aplicación permite que la API de Windows busque la DLL, y una de las ubicaciones buscadas es el directorio de trabajo actual, el directorio desde el que se abre el ejecutable.
Esto significa que los atacantes podrían colocar un ejecutable de este tipo en una carpeta junto con una DLL con el nombre de la que se sabe que la aplicación está buscando. Su archivo DLL malicioso está cargado en la memoria. Debido a que la carga proviene de un ejecutable legítimo que probablemente esté firmado digitalmente y se sepa que no es malicioso, es posible que algunas soluciones de seguridad no etiqueten la DLL. Si el usuario sospecha, probablemente esté escaneando el .exe limpio con un servicio como VirusTotal en lugar de la DLL que lo acompaña, especialmente porque tiene el atributo oculto y es posible que ni siquiera aparezca en el Explorador de archivos.
En una variante del ataque, los investigadores vieron a los atacantes abusar de WDSyncService.exe, un archivo ejecutable que forma parte de WD Sync, una aplicación desarrollada por el fabricante de dispositivos de almacenamiento Western Digital. En otro caso, utilizaron ElevatedInstaller.exe, una aplicación de la empresa de tecnología Garmin. Ambas aplicaciones tienen una vulnerabilidad de carga lateral de DLL e intentan cargar archivos DLL llamados WDSync.dll y vcruntime140.dll respectivamente.
Cadena de infección conduce a SYS01stealer
La DLL maliciosa es un cargador de malware que ejecuta archivos ejecutables ocultos adicionales o los extrae de archivos .dat o .txt ocultos en el mismo archivo ZIP. Estos archivos se crean con diferentes lenguajes de programación como Rust o Python y se utilizan para configurar tareas programadas, descargar archivos de señuelo y mostrárselos a la víctima o mostrar errores de señuelo.
La carga útil final también se descarga desde un servidor de comando y control (C&C) y siempre es un instalador creado con Inno-Setup, que emplea un programa de caballo de Troya que los investigadores han denominado SYS01stealer. Este programa malicioso está escrito en PHP, que suele ser un lenguaje de secuencias de comandos web, por lo que necesita el tiempo de ejecución de PHP (php.exe) para ejecutarse. El tiempo de ejecución de PHP está incluido en el instalador y el comando ejecutado es php.exe include.php.
Incluir.php es el script responsable de proporcionar tareas programadas para persistencia y carga index.php que contiene la lógica de robo de cuenta. El paquete también incluye un archivo llamado rhc.exe, que se utiliza para ocultar la ventana de programas iniciados, y un ejecutable de Rust (a veces llamado rss.txt), cuyo objetivo es descifrar la clave de cifrado utilizada por los navegadores basados en Chromium para proteger información confidencial. datos del sitio web, como cookies de sesión.
El script SYS01stealer contacta a un servidor de comando y control y envía información de identificación sobre la víctima. El servidor C&C responde con tareas para el script. Una tarea se llama get_ck_all y se utiliza para extraer todas las cookies y los datos de inicio de sesión de todos los navegadores basados en Chromium instalados en el sistema.
“El ataque comprueba además si el usuario ha iniciado sesión a través de una cuenta de Facebook o no. Para hacer esto, verifica si el nombre de host de la cookie contiene facebook.com y recopila las cookies específicas de la sesión xs y c_user, que almacenan la identificación del usuario y el secreto de la sesión, respectivamente”, dijeron los investigadores.
La información extraída luego se usa para consultar la API de gráficos de Facebook y extraer toda la información disponible sobre la cuenta de la víctima, que luego se vuelve a cargar en el servidor de C&C.
Otra tarea implementada es dlAR, que significa descargar y ejecutar. Como sugiere el nombre, el script descarga un archivo desde una URL específica y lo ejecuta en el sistema usando parámetros específicos. Los atacantes parecen estar usando esto para actualizar el ladrón mediante la descarga de un cargador actualizado que también usa la carga lateral de DLL, esta vez abusando de la aplicación Western Digital WD Discovery junto con un WDLocal.dll malicioso.
Otras tareas implementadas se denominan carga, que se usa para cargar un archivo local específico de vuelta a C&C, y r, que se usa para ejecutar un comando específico desde la línea de comandos de Windows y enviar el resultado al servidor.
«Los pasos básicos para prevenir el robo de SYS01 incluyen implementar una política de confianza cero y restringir los derechos de los usuarios para descargar e instalar programas», dijeron los investigadores de Morphisec. «Y SYS01stealer se basa en una campaña de ingeniería social, por lo que es importante educar a los usuarios sobre los trucos que usan los oponentes para que sepan cómo detectarlos».
Derechos de autor © 2023 IDG Communications, Inc.
Este contenido de ciberseguridad nos ha llegado de: CSO Online
Puedes encontrar la noticia original en el enlace que sigue: https://www.csoonline.com/article/3689891/attack-campaign-uses-php-based-infostealer-to-target-facebook-business-accounts.html#tk.rss_news
