FlyTrap-malware
Een dreigende aanvalscampagne gericht op Android-gebruikers en gericht op het verzamelen van hun Facebook-inloggegevens is blijkbaar al maanden aan de gang. De operatie implementeerde een voorheen onbekende malwarebedreiging met de naam FlyTrap. Volgens een rapport dat is vrijgegeven door de onderzoekers van Zimperium's zLabs, heeft de FlyTrap Facebook-accounts van meer dan 10.000 gebruikers gecompromitteerd, verspreid over ongeveer 144 landen. De dreigingsactor achter de campagne lijkt vanuit Vietnam te opereren.
Distributietechnieken
De FlyTrap-aanval was gebaseerd op tal van bewapende applicaties en gebruikte social engineering-trucs om de slachtoffers te lokken. De bedreigende applicaties waren zelfs beschikbaar om te downloaden van de officiële Google Play Store voordat ze werden verwijderd. Nu verspreiden ze zich via platforms en winkels van derden. Tot nu toe zijn negen verschillende applicaties gedetecteerd die de FlyTrap-malware leveren: GG Voucher, Vote European Football, GG Coupon Ads, GG Voucher Ads, GG Voucher, Chatfuel, Net Coupon, een andere Net Coupon en EURO 2021 Official. Ze doen alsof ze lucratieve beloningen aanbieden, zoals couponcodes van Netflix of Google AdWords, of proberen gebruikers te betrekken via populaire evenementen, zoals hen aansporen om te stemmen op hun favoriete team en spelers die deelnemen aan de UEFA EURO 2020 die plaatsvond tussen 11 juni en juli 11, 2021. Om toegang te krijgen tot de vermeende beloningen, moesten gebruikers echter inloggen met hun Facebook-accounts.
Dreigende functionaliteit
Wanneer de gebruiker zich aanmeldt bij het account, activeert en verzamelt de FlyTrap-malware de geolocatie, het e-mailadres, het IP-adres, de Facebook-ID en de cookies en tokens van het slachtoffer met betrekking tot het gehackte Facebook-account. Daarna konden de aanvallers de verkregen informatie op meerdere manieren misbruiken. Ze kunnen desinformatiecampagnes lanceren, gesponsorde pagina's stimuleren of propaganda verspreiden via alle gecompromitteerde accounts of de FlyTrap-malware nog verder verspreiden door lokberichten naar de contactenlijst van het slachtoffer te sturen. De kerntechniek van de dreiging staat bekend als JavaScript-injectie. Het houdt in dat de nep-app een legitieme URL opent in een WebView-venster dat is geconfigureerd om de injectie van JavaScript-code toe te staan.
