Snake Infostealer missbraucht Facebook-Nachrichten
Bedrohungsakteure nutzen Facebook-Nachrichten, um ein Python-basiertes Datendiebstahl-Tool namens Snake zu verbreiten, das darauf ausgelegt ist, vertrauliche Informationen und Anmeldeinformationen zu erfassen. Laut Cybereason-Forscher Kotaro Ogino werden die gesammelten Anmeldeinformationen an verschiedene Plattformen wie Discord, GitHub und Telegram gesendet. Die Details der Kampagne tauchten im August 2023 auf der Social-Media-Plattform X auf und beinhalteten die Verbreitung scheinbar harmloser RAR- oder ZIP-Dateien. Beim Öffnen dieser Dateien wird eine Infektionssequenz ausgelöst.
Funktionsweise von Snake
Der Prozess umfasst zwei zwischengeschaltete Downloader – ein Batch-Skript und ein CMD-Skript. Letzterer ist für das Herunterladen und Ausführen des Information Stealers aus einem GitLab-Repository verantwortlich, das vom Bedrohungsakteur kontrolliert wird. Cybereason hat drei Varianten des Stealers identifiziert, wobei die dritte eine von PyInstaller zusammengestellte ausführbare Datei ist. Die Malware zielt auf Daten verschiedener Webbrowser ab, wobei der Schwerpunkt auf Coc Coc liegt, was auf einen möglichen vietnamesischen Ursprung hinweist.
Die gestohlenen Daten, bestehend aus Anmeldeinformationen und Cookies, werden über die Telegram Bot API als ZIP-Archiv herausgefiltert. Der Stealer ist auch so programmiert, dass er Facebook-spezifische Cookie-Informationen extrahiert, was auf die Absicht hindeutet, Konten für böswillige Zwecke zu kapern. Die vietnamesische Verbindung wird durch die Namenskonvention der GitHub- und GitLab-Repositories und Verweise auf die vietnamesische Sprache im Quellcode verstärkt.
Ogino wies darauf hin, dass alle Varianten den von der vietnamesischen Community weit verbreiteten Coc Coc Browser unterstützen. Bemerkenswert ist, dass im vergangenen Jahr mehrere Informationsdiebstahler aufgetaucht sind, die es auf Facebook-Cookies abgesehen haben, darunter S1deload Stealer, MrTonyScam, NodeStealer und VietCredCare.
Diese Entwicklung fällt mit der Zeit zusammen, in der Meta in den USA kritisiert wird, weil es Opfer gehackter Konten nicht ausreichend unterstützt. Als Reaktion auf die spürbare Zunahme von Kontoübernahmen wurde Meta aufgefordert, sofort Maßnahmen zu ergreifen.
