Snake Infostealer abusa de los mensajes de Facebook
Los actores de amenazas están utilizando mensajes de Facebook para difundir una herramienta de robo de datos basada en Python llamada Snake, diseñada para capturar información y credenciales confidenciales. Según el investigador de Cybereason, Kotaro Ogino, las credenciales recopiladas se envían a varias plataformas como Discord, GitHub y Telegram. Los detalles de la campaña aparecieron en la plataforma de redes sociales X en agosto de 2023, e involucraron la distribución de archivos RAR o ZIP aparentemente inofensivos. Al abrirse, estos archivos desencadenan una secuencia de infección.
Método de operación de la serpiente
El proceso incluye dos descargadores intermediarios: un script por lotes y un script cmd. Este último se encarga de descargar y ejecutar el ladrón de información desde un repositorio de GitLab controlado por el actor de la amenaza. Cybereason identificó tres variantes del ladrón, siendo la tercera un ejecutable ensamblado por PyInstaller. El malware se dirige a datos de varios navegadores web, centrándose en Coc Coc, lo que indica un posible origen vietnamita.
Los datos robados, que consisten en credenciales y cookies, se extraen como un archivo ZIP a través de la API de Telegram Bot. El ladrón también está programado para extraer información de cookies específica de Facebook, lo que sugiere una intención de secuestrar cuentas con fines maliciosos. La conexión vietnamita se ve reforzada por la convención de nomenclatura de los repositorios GitHub y GitLab y las referencias al idioma vietnamita en el código fuente.
Ogino señaló que todas las variantes son compatibles con el navegador Coc Coc, ampliamente utilizado por la comunidad vietnamita. En particular, durante el año pasado surgieron varios ladrones de información dirigidos a las cookies de Facebook, incluidos S1deload Stealer, MrTonyScam, NodeStealer y VietCredCare.
Este desarrollo coincide con Meta que enfrenta críticas en los EE. UU. por no ayudar adecuadamente a las víctimas de cuentas pirateadas. Se han hecho llamados para que Meta tome medidas inmediatas en respuesta a un aumento notable en los incidentes de apropiación de cuentas.
