FB Stealer
Η οικογένεια FB Stealer είναι ένα από τα πιο απειλητικά ανεπιθύμητα στελέχη επέκτασης προγράμματος περιήγησης. Αν και μοιράζεται πολλά χαρακτηριστικά με πιο τυπικούς αεροπειρατές adware και προγράμματος περιήγησης, οι πρόσθετες δυνατότητες του FB Stealer το μετατρέπουν σε νόμιμη απειλή. Λεπτομέρειες σχετικά με την αλυσίδα μόλυνσης και τις λειτουργίες του FB Stealer κυκλοφόρησαν από ερευνητές ασφαλείας σε μια αναφορά SecureList.
Σύμφωνα με τα ευρήματά τους, οι χειριστές των εφαρμογών FB Stealer δεν χρησιμοποιούν τις κοινές τακτικές διανομής PUP (Potentially Unwanted Program) που έχουν σχεδιαστεί για να συγκαλύπτουν το γεγονός ότι μια παρεμβατική εφαρμογή θα παραδοθεί στη συσκευή του χρήστη. Αντίθετα, οι εφαρμογές αυτής της οικογένειας απορρίπτονται στα μολυσμένα συστήματα μέσω ενός Trojan που παρακολουθείται ως NullMixer. Το Trojan θα μπορούσε να εγχυθεί σε σπασμένα προγράμματα εγκατάστασης για δημοφιλή προϊόντα λογισμικού, όπως το SolarWinds Broadband Engineers Edition.
Μόλις ενεργοποιηθεί το NullMixer, θα αντιγράψει τα αρχεία της επέκτασης FB Stealer στη θέση %AppData%\Local\Google\Chrome\User Data\Default\Extensions . Το Trojan θα τροποποιήσει επίσης το αρχείο Secure Preferences του Chrome, το οποίο έχει ως αποστολή να περιέχει σημαντικές πληροφορίες για ρυθμίσεις και επεκτάσεις του Chrome. Ως αποτέλεσμα, η απειλητική εφαρμογή FB Stealer θα εμφανίζεται ως τυπική επέκταση Google Translate.
Αφού εκτελεστεί, το FB Stealer αλλάζει την προεπιλεγμένη μηχανή αναζήτησης, με τη νέα διεύθυνση να είναι ctcodeinfo.com. Εκτός από τους κινδύνους που προκαλούνται από την ανακατεύθυνση των αναζητήσεών τους σε μια άγνωστη διεύθυνση, τα θύματα ενδέχεται επίσης να παραβιάσουν τα διαπιστευτήρια σύνδεσής τους στο Facebook. Το FB Stealer είναι σε θέση να εξάγει cookies συνεδρίας του Facebook και να τα μεταδίδει σε διακομιστή υπό τον έλεγχο των χειριστών του. Οι φορείς απειλών μπορούν στη συνέχεια να κάνουν κατάχρηση των cookies για να συνδεθούν με επιτυχία και να καταλάβουν τον λογαριασμό του θύματος. Οι εισβολείς θα μπορούσαν στη συνέχεια να εκτελέσουν διάφορες δόλιες δραστηριότητες, όπως η διάδοση παραπληροφόρησης, η εξαπάτηση των επαφών του θύματος για να στείλουν χρήματα, η διανομή κατεστραμμένων συνδέσμων και πολλά άλλα.
