NodeStealer: Το νέο κακόβουλο λογισμικό που ανακάλυψε το Facebook

Το Facebook ανακάλυψε ένα νέο κακόβουλο λογισμικό που ονομάζεται “NodeStealer” και κλέβει cookies του προγράμματος περιήγησης.

Δείτε επίσης: YouTube Videos διανέμουν το κακόβουλο λογισμικό Aurora Stealer

Η λήψη cookies που περιέχουν έγκυρα διακριτικά περιόδου σύνδεσης χρήστη είναι μια τακτική που γίνεται όλο και πιο δημοφιλής μεταξύ των εγκληματιών του κυβερνοχώρου, καθώς τους επιτρέπει να κλέβουν λογαριασμούς χωρίς να χρειάζεται να κλέψουν διαπιστευτήρια ή να αλληλεπιδράσουν με τον στόχο, ενώ παράλληλα παρακάμπτουν τις προστασίες ελέγχου ταυτότητας δύο παραγόντων.

Σύμφωνα με νέα ανάρτηση στο ιστολόγιο της ομάδας ασφαλείας του Facebook, η εταιρεία εντόπισε το NodeStealer πολύ νωρίς στην εκστρατεία διανομής του, μόλις δύο εβδομάδες μετά την αρχική του ανάπτυξη. Από τότε, η εταιρεία διέκοψε τη λειτουργία του και βοήθησε τους χρήστες που επηρεάστηκαν να ανακτήσουν τους λογαριασμούς τους.

SecNewsTV

23.6K subscribers

Περισσότερα... Subscribe!

Στα τέλη Ιανουαρίου του 2023, οι μηχανικοί του Facebook ανακάλυψαν το κακόβουλο λογισμικό NodeStealer και απέδωσαν τις επιθέσεις σε βιετναμέζους δράστες. Το NodeStealer είναι κακόβουλο λογισμικό που χρησιμοποιεί τη γλώσσα JavaScript και εκτελείται μέσω του Node.js.

Το Node.js είναι ένα εργαλείο για ανάπτυξη λογισμικού που μπορεί να εκτελεστεί σε διάφορα λειτουργικά συστήματα, όπως τα Windows, macOS και Linux. Ωστόσο, αυτό το καθιστά επίσης δυνητικά επικίνδυνο γιατί μπορεί να χρησιμοποιηθεί από κακόβουλο λογισμικό. Παρόλα αυτά, αξίζει να σημειωθεί ότι πολλά antivirus δεν ανιχνεύουν αυτό το λογισμικό ως κακόβουλο στο VirusTotal.

Το NodeStealer είναι ένα εκτελέσιμο αρχείο για τα Windows με μέγεθος 46-51 MB που έχει παραμορφωθεί να φαίνεται σαν ένα αρχείο PDF ή Excel με το κατάλληλο όνομα, προκαλώντας περιέργεια στον παραλήπτη. Αυτό το αρχείο διανέμεται στους χρήστες.

Κατά την εκκίνηση, το Node.js χρησιμοποιεί την αυτόματη εκκίνηση της μονάδας και προσθέτει ένα καινούργιο κλειδί αναγνώρισης στο μητρώο του υπολογιστή του θύματος για να διασφαλίσει τη συνέχιση της βαλίτσας ανάμεσα στις επανεκκινήσεις.

Το κακόβουλο λογισμικό έχει ως βασικό στόχο να κλέψει τα cookies και τα διαπιστευτήρια των λογαριασμών στο Facebook, Gmail και Outlook. Αυτά αποθηκεύονται στα προγράμματα περιήγησης Chrome-based, όπως το Google Chrome, Microsoft Edge, Brave, Opera κτλ.

Δείτε ακόμα: Google Ads: Διανέμουν κακόβουλο λογισμικό

Συνήθως, αυτά τα δεδομένα είναι κρυπτογραφημένα στη βάση δεδομένων SQLite των προγραμμάτων περιήγησης. Ωστόσο, η αντιστροφή αυτής της κρυπτογράφησης είναι μια ασήμαντη διαδικασία που εφαρμόζεται από όλους τους σύγχρονους κλέφτες πληροφοριών, οι οποίοι απλώς ανακτούν το κλειδί αποκρυπτογράφησης με κωδικοποίηση base64 από το αρχείο “Τοπική κατάσταση” του Chromium.

Για να αποφύγει τον εντοπισμό από τα συστήματα κατά της κατάχρησης του Facebook, το NodeStealer κρύβει αυτά τα αιτήματα πίσω από τη διεύθυνση IP του θύματος και χρησιμοποιεί τα cookie και τη διαμόρφωση του συστήματος για να φαίνεται σαν γνήσιος χρήστης.

Οι βασικές πληροφορίες που αναζητά το κακόβουλο λογισμικό είναι η ικανότητα του λογαριασμού Facebook να εκτελεί διαφημιστικές καμπάνιες, τις οποίες χρησιμοποιούν οι κακόβουλοι παράγοντες για να προωθήσουν παραπληροφόρηση ή να οδηγήσουν ανυποψίαστο κοινό σε άλλους ιστότοπους διανομής κακόβουλου λογισμικού.

Μετά την ανακάλυψη, το Facebook ανακοίνωσε ότι ανέγνωρισε τον διακομιστή του απειλητικού παράγοντα και τον καταχώρησε στον κατάλογο των αποκλεισμένων τομέων, πριν από την κατάργησή του στις 25 Ιανουαρίου 2023. Στη σημερινή αναφορά, το Facebook παρείχε περαιτέρω πληροφορίες σχετικά με τα κακόβουλα λογισμικά DuckTail και ChatGPT, συμπεριλαμβανομένων κακόβουλων προσθέτων προγραμμάτων.

Δείτε επίσης: Android certificates χρησιμοποιούνται για κακόβουλο λογισμικό

Για όσους ενδιαφέρονται, το Facebook ανέβασε τα δεδομένα του στο δημόσιο αποθετήριο GitHub του, σχετικά με Indicator of Compromise (IOC), που αφορούν τα κακόβουλα λογισμικά NodeStealer, DuckTail και ChatGPT emulator.