FB Stealer

Ang pamilya ng FB Stealer ay kabilang sa mga mas nagbabantang hindi gustong mga strain ng extension ng browser. Bagama't nagbabahagi ito ng ilang katangian sa mas karaniwang mga adware at browser hijacker, ang mga karagdagang kakayahan ng FB Stealer ay ginagawa itong isang lehitimong banta. Ang mga detalye tungkol sa chain ng impeksyon at mga function ng FB Stealer ay inilabas ng mga security researcher sa isang ulat ng SecureList.

Ayon sa kanilang mga natuklasan, ang mga operator ng mga application ng FB Stealer ay hindi gumagamit ng mga karaniwang taktika sa pamamahagi ng PUP (Potentially Unwanted Program) na idinisenyo upang itago ang katotohanan na ang isang mapanghimasok na application ay ihahatid sa device ng user. Sa halip, ang mga aplikasyon ng pamilyang ito ay ibinabagsak sa mga nahawaang sistema sa pamamagitan ng isang Trojan na sinusubaybayan bilang NullMixer. Ang Trojan ay maaaring iturok sa mga basag na installer para sa mga sikat na produkto ng software, gaya ng SolarWinds Broadband Engineers Edition.

Kapag na-activate na ang NullMixer, kokopyahin nito ang mga file ng extension ng FB Stealer sa lokasyon ng %AppData%\Local\Google\Chrome\User Data\Default\Extensions . Babaguhin din ng Trojan ang file ng Secure Preferences ng Chrome, na may tungkuling maglaman ng mahahalagang setting ng Chrome at impormasyon ng mga extension. Bilang resulta, lalabas ang nagbabantang FB Stealer na application bilang karaniwang extension ng Google Translate.

Matapos itong maisakatuparan, binabago ng FB Stealer ang default na search engine, na ang bagong address ay ctcodeinfo.com. Bilang karagdagan sa mga panganib na dulot ng pag-redirect sa kanilang mga paghahanap sa isang hindi pamilyar na address, maaaring nakompromiso din ng mga biktima ang kanilang mga kredensyal sa pag-log in sa Facebook. Ang FB Stealer ay may kakayahang mag-extract ng cookies ng session ng Facebook at ipadala ang mga ito sa isang server sa ilalim ng kontrol ng mga operator nito. Maaaring abusuhin ng mga banta ng aktor ang cookies upang matagumpay na mag-log in at kunin ang account ng biktima. Ang mga umaatake ay maaaring magsagawa ng iba't ibang mapanlinlang na aktibidad, tulad ng pagkalat ng disinformation, panlilinlang sa mga contact ng biktima upang magpadala ng pera, pamamahagi ng mga sirang link at higit pa.