犯罪分子冒充 Meta 廣告管理器竊取賬戶信息

作者：Avenger 2023-07-20 13:54:39

欺詐者花費了大量時間，研究與了解如何濫用社交媒體。社交媒體平臺上，需要持續與欺詐者進行對抗。

與所有的社交媒體一樣，Facebook 也需要應對虛假賬戶、詐騙與惡意軟件的威脅。過去的幾周，研究人員發現冒充 Meta 與 Facebook的廣告管理器再次浮現。騙子承諾通過優化提供更好的廣告推廣效果，在使用騙子提供的惡意軟件時可以提高性能。Meta 官方跟蹤了例如 DuckTail 等多個攻擊團伙，這些攻擊團伙已經在 Facebook 平臺活躍了多年。

研究人員發現了一種新的攻擊方式，攻擊者利用惡意 Chrome 擴展來竊取 Facebook 賬戶憑據，攻擊者與過去常見的攻擊團伙無關。在跟蹤分析攻擊時，研究人員發現攻擊者將其中一個惡意軟件文件與竊取的數據打包時存在失誤。

虛假廣告管理器

Ads Manager 是一款幫助用戶在 Facebook、Instagram 與 Meta 等平臺上投放在線廣告的產品。5 月份，TechCrunch 披露了詐騙者如何通過驗證后的賬戶從 Meta 購買廣告。他們試圖吸引潛在的受害者下載該軟件，誘騙受害者可以通過“更專業、更安全的工具”來管理廣告。

六月初，研究人員就發現了使用類似誘餌、相同方式的欺詐賬戶。值得注意的是，這些欺詐賬戶通常擁有數以萬計的關注者，其消息可以迅速傳播。

image.png-745.6kB

欺詐賬戶

詐騙者主要針對在該平臺上想要投放廣告的人。為了入侵這些賬戶，攻擊者將受害者重定向到外部網站。這些網站使用官方的圖標構建，引誘受害者通過鏈接下載 Facebook 廣告管理器。各大云服務提供商都被攻擊者用于托管加密壓縮包，如 Google、Trello 等。

image.png-470.4kB

釣魚網站

惡意 Chrome 擴展

壓縮文件解壓后，為一個 MSI 安裝程序。該程序會在 C:\Program Files (x86)\Ads Manager\Ads Manager 下安裝多個組件，包括批處理腳本與兩個文件夾。其中有一個自定義的 Chrome 擴展，而 System 文件夾中包含單獨的 WebDriver 文件。

image.png-493.3kB

文件組件

批處理腳本在 MSI 安裝程序完成后啟動，生成一個新的瀏覽器窗口。瀏覽器加載自定義擴展，將受害者引導至 Facebook 登錄頁面。

taskkill /F /IM chrome.exe
taskkill /F /IM chromedriver.exe
timeout /t 1 >nul
start chrome.exe --load-extension="%~dp0/nmmhkkegccagdldgiimedpiccmgmiedagg4" "https://www.facebook.com/business/tools/ads-manager"

image.png-169.8kB