Snake Infostealer abusa de mensagens do Facebook
Os agentes de ameaças estão utilizando mensagens do Facebook para disseminar uma ferramenta de roubo de dados baseada em Python chamada Snake, projetada para capturar informações e credenciais confidenciais. De acordo com o pesquisador da Cybereason, Kotaro Ogino, as credenciais coletadas são enviadas para diversas plataformas como Discord, GitHub e Telegram. Os detalhes da campanha surgiram na plataforma de mídia social X em agosto de 2023, envolvendo a distribuição de arquivos RAR ou ZIP aparentemente inofensivos. Ao serem abertos, esses arquivos desencadeiam uma sequência de infecção.
Método de operação da cobra
O processo inclui dois downloaders intermediários – um script em lote e um script cmd. Este último é responsável por baixar e executar o ladrão de informações de um repositório GitLab controlado pelo autor da ameaça. A Cybereason identificou três variantes do ladrão, sendo a terceira um executável montado pelo PyInstaller. O malware tem como alvo dados de vários navegadores da web, com foco no Coc Coc, indicando uma potencial origem vietnamita.
Os dados roubados, consistindo em credenciais e cookies, são exfiltrados como um arquivo ZIP por meio da API Telegram Bot. O ladrão também está programado para extrair informações de cookies específicas do Facebook, sugerindo a intenção de sequestrar contas para fins maliciosos. A conexão vietnamita é reforçada pela convenção de nomenclatura dos repositórios GitHub e GitLab e pelas referências ao idioma vietnamita no código-fonte.
Ogino destacou que todas as variantes suportam o navegador Coc Coc, amplamente utilizado pela comunidade vietnamita. Notavelmente, durante o ano passado, surgiram vários ladrões de informações direcionados aos cookies do Facebook, incluindo S1deload Stealer, MrTonyScam, NodeStealer e VietCredCare.
Este desenvolvimento coincide com o Meta enfrentando críticas nos EUA por não ajudar adequadamente as vítimas de contas hackeadas. Foram feitos apelos para que a Meta tome medidas imediatas em resposta a um aumento notável nos incidentes de aquisição de contas.
