Snake Infostealer misbruger Facebook-beskeder
Trusselaktører bruger Facebook-beskeder til at formidle et Python-baseret datatyveri ved navn Snake, designet til at fange følsomme oplysninger og legitimationsoplysninger. Ifølge Cybereason-forsker Kotaro Ogino sendes de høstede legitimationsoplysninger til forskellige platforme som Discord, GitHub og Telegram. Kampagnedetaljerne dukkede op på den sociale medieplatform X i august 2023, der involverede distribution af tilsyneladende harmløse RAR- eller ZIP-filer. Ved åbning udløser disse filer en infektionssekvens.
Snakes operationsmetode
Processen inkluderer to mellemliggende downloadere – et batchscript og et cmd-script. Sidstnævnte er ansvarlig for at downloade og udføre informationstyveren fra et GitLab-lager, der kontrolleres af trusselsaktøren. Cybereason identificerede tre varianter af stjæleren, hvor den tredje var en eksekverbar, samlet af PyInstaller. Malwaren retter sig mod data fra forskellige webbrowsere med fokus på Coc Coc, hvilket indikerer en potentiel vietnamesisk oprindelse.
De stjålne data, bestående af legitimationsoplysninger og cookies, eksfiltreres som et ZIP-arkiv gennem Telegram Bot API. Tyveren er også programmeret til at udtrække cookieoplysninger, der er specifikke for Facebook, hvilket tyder på en intention om at kapre konti til ondsindede formål. Den vietnamesiske forbindelse er forstærket af navnekonventionen for GitHub og GitLab repositories og referencer til det vietnamesiske sprog i kildekoden.
Ogino påpegede, at alle varianter understøtter Coc Coc Browser, der er meget brugt af det vietnamesiske samfund. Det er bemærkelsesværdigt, at der i løbet af det seneste år er opstået adskillige informationstyve, der målretter mod Facebook-cookies, herunder S1deload Stealer, MrTonyScam, NodeStealer og VietCredCare.
Denne udvikling falder sammen med, at Meta står over for kritik i USA for ikke at hjælpe ofre for hackede konti tilstrækkeligt. Der er blevet opfordret Meta til at træffe øjeblikkelige handlinger som reaktion på en mærkbar stigning i hændelser vedrørende kontoovertagelser.
