新型恶意软件FFDroider正对 Facebook等社交帐户下手

2022-04-11 发布 0条评论

Facebook专页赞买粉丝,加关注,刷评论,买点赞,刷观看量。请加微信zhideshua

据BleepingComputer消息,Zscaler的研究人员正追踪一款名为FFDroider的新型信息窃取程序,它正通过窃取存储在浏览器中的凭证和cookie以劫持受害者的社交媒体帐户。

  与许多恶意软件一样,FFDroider通过利用伪装成破解软件、免费软件、游戏和其他从torrent站点下载的文件进行传播。在下载安装时,会创建一个名为“FFDroider”的Windows注册表项,这也是该恶意软件名称的由来。

  FFDroider在受感染的系统上添加注册表项(Zscaler)

  FFDroid主要针对存储在GoogleChrome(和基于Chrome的浏览器)、MozillaFirefox、InternetExplorer和MicrosoftEdge中的cookie和帐户凭证。例如,该恶意软件通过滥用WindowsCryptAPI,特别是CryptUnProtectData函数,读取和解析ChromiumSQLitecookie和SQLiteCredential存储并解密条目。

  其他浏览器的程序也类似,像滥用InternetGetCookieRxW和IEGetProtectedModeCookie等功能,窃取存储在Explorer和Edge中的所有cookie。窃取和解密会产生明文用户名和密码,然后通过HTTPPOST请求将其泄露到C2服务器。

  FFDroid从IE窃取Facebookcookie(Zscaler)

  与许多其他窃取密码的木马不同,FFDroid只专注于存储在网络浏览器中的社交媒体账户和电子商务网站凭证,窃取可用于在这些平台上进行身份验证的有效cookie,其目标包括Facebook、Instagram、亚马逊、eBay、Etsy、Twitter和WAXCloud钱包。

  例如,如果攻击者在Facebook上的身份验证成功,FFDroider会从Facebook广告管理器获取所有Facebook页面和书签、受害者朋友数量以及他们的帐户账单和付款信息,并使用这些信息在社交媒体平台上开展欺诈性广告活动,将恶意软件传播给更多的受众;而如果成功登录Instagram,FFDroider将打开账户编辑页面,获取账户的电子邮件地址、手机号码、用户名、密码等详细信息。

  FFDroid分别从Facebook和Instagram窃取cookie(Zscaler)

  由此可见,FFDroid的套路不仅在于试图获取凭证,还试图登录相应平台并窃取更多信息。在将这些信息发送到C2后,FFDroid还会以固定的时间间隔从其服务器上下载并部署其它模块。Zscaler的分析师没有提供有关这些模块的详细信息,但这会使威胁更加强大。