Snake Infostealer abusa dei messaggi di Facebook
Gli autori delle minacce stanno utilizzando i messaggi di Facebook per diffondere uno strumento di furto di dati basato su Python chiamato Snake, progettato per acquisire informazioni e credenziali sensibili. Secondo il ricercatore di Cybereason Kotaro Ogino, le credenziali raccolte vengono inviate a varie piattaforme come Discord, GitHub e Telegram. I dettagli della campagna sono emersi sulla piattaforma di social media X nell’agosto 2023, coinvolgendo la distribuzione di file RAR o ZIP apparentemente innocui. All'apertura, questi file attivano una sequenza di infezione.
Il metodo di funzionamento di Snake
Il processo include due downloader intermedi: uno script batch e uno script cmd. Quest'ultimo è responsabile del download e dell'esecuzione del ladro di informazioni da un repository GitLab controllato dall'autore della minaccia. Cybereason ha identificato tre varianti dello stealer, di cui la terza è un eseguibile assemblato da PyInstaller. Il malware prende di mira i dati di vari browser Web, con particolare attenzione a Coc Coc, indicando una potenziale origine vietnamita.
I dati rubati, costituiti da credenziali e cookie, vengono esfiltrati come archivio ZIP tramite l'API Bot di Telegram. Il ladro è inoltre programmato per estrarre informazioni dai cookie specifiche di Facebook, suggerendo l'intenzione di prendere il controllo degli account per scopi dannosi. La connessione vietnamita è rafforzata dalla convenzione di denominazione dei repository GitHub e GitLab e dai riferimenti alla lingua vietnamita nel codice sorgente.
Ogino ha sottolineato che tutte le varianti supportano il Coc Coc Browser, ampiamente utilizzato dalla comunità vietnamita. In particolare, nell’ultimo anno sono emersi diversi ladri di informazioni che prendono di mira i cookie di Facebook, tra cui S1deload Stealer, MrTonyScam, NodeStealer e VietCredCare.
Questo sviluppo coincide con il fatto che Meta si trova ad affrontare critiche negli Stati Uniti per non aver assistito adeguatamente le vittime di account compromessi. È stato chiesto a Meta di agire immediatamente in risposta a un notevole aumento degli episodi di furto di account.
