Posté le avril 13, 2022 à 12:53
LE NOUVEAU FFDROIDER CIBLE DÉSORMAIS LES NOMS D’UTILISATEUR ET LES MOTS DE PASSE DES MÉDIAS SOCIAUX
Un rapport récent des chercheurs en cybersécurité de Zscaler a révélé que les hackers tentent de voler les mots de passe des comptes de médias sociaux à l’aide d’un logiciel malveillant Windows baptisé FFDroider. Outre les mots de passe, les chercheurs ont également noté que le logiciel malveillant peut également voler les cookies des ordinateurs Windows infectés.
FFDroider est construit principalement pour voler les identifiants de connexion des sites de médias sociaux, notamment Twitter, Instagram et Facebook. De plus, il peut voler les mots de passe des comptes eBay, Etsy et Amazon. Le logiciel malveillant est également capable de voler les cookies des navigateurs Mozilla Firefox, Google Chrome, Microsoft Edge et Internet Explorer.
Une fois que les hackers ont réussi à voler les identifiants de connexion et d’autres détails, ils peuvent les utiliser pour voler des informations personnelles, contrôler des comptes, ainsi que pour commettre des fraudes à l’encontre des victimes. En outre, les informations peuvent être utilisées par les acteurs de la menace pour pirater d’autres comptes si l’utilisateur partage les mêmes identifiants de connexion avec d’autres comptes.
Les comptes de médias sociaux vérifiés sont généralement des cibles attrayantes pour les acteurs de la menace qui peuvent les utiliser pour mener diverses activités malveillantes, notamment la distribution de logiciels malveillants et les arnaques aux crypto-monnaies.
Les comptes deviennent plus attrayants pour les hackers lorsqu’ils ont accès aux plateformes publicitaires des sites de médias sociaux, ce qui leur permet de diffuser des publicités malveillantes à l’aide des identifiants volés.
Le logiciel malveillant est distribué via des cracks logiciels
Les chercheurs de Zscaler ont révélé que le nouveau voleur d’informations est distribué par des cracks logiciels. Les chercheurs ont suivi le logiciel malveillant et la façon dont il est distribué. D’après l’analyse technique détaillée des chercheurs, le logiciel malveillant FFDrooiler fonctionne ou agit comme beaucoup d’autres logiciels malveillants, puisqu’il est diffusé par le biais de jeux, de logiciels gratuits, de cracks logiciels et d’autres fichiers téléchargés sur des sites torrents.
Tout utilisateur qui installe un fichier contenant le logiciel malveillant l’installe automatiquement sur son système sans le savoir. Il est généralement déguisé en bureau Telegram pour échapper à la détection.
Une fois lancé, le logiciel malveillant crée une clé de registre Windows baptisée « FFDroider », d’où son nom. Pour expliquer clairement comment le logiciel malveillant est distribué et comment il infecte les systèmes, les chercheurs ont établi un organigramme à titre d’illustration.
Le logiciel malveillant lit et analyse les informations d’identification SQLite de Chromium et les magasins de cookies SQLite avant. Selon Zscaler, la méthode est similaire aux autres navigateurs Web, avec des fonctions telles que IEGet ProtectedMode et InternetGetCookieRxW Cookie abusées pour arracher tous les cookies stockés dans Edge et Explorer.
Le vol et le décryptage conduisent à des noms d’utilisateur et des mots de passe en clair, généralement exfiltrés vers le serveur C2 du pirate par le biais d’une requête HTTP Post. Toutes ces opérations sont effectuées en secret sans que l’utilisateur du logiciel de sécurité installé sur le système ne détecte aucune activité inhabituelle.
Le logiciel malveillant est spécifiquement conçu pour cibler les comptes de médias sociaux
FFDroid est légèrement différent des autres chevaux de Troie voleurs de mots de passe. Alors que d’autres logiciels malveillants peuvent s’attaquer à toutes les informations d’identification des comptes stockées dans les navigateurs Web, le cheval de Troie FFDroid a des objectifs et des cibles spécifiques.
Les développeurs du logiciel malveillant se concentrent sur le vol d’informations d’identification sur les sites de commerce électronique et les comptes de médias sociaux. L’objectif principal est de voler des cookies valides qui peuvent être utilisés pour l’authentification sur la plate-forme, tandis que le logiciel malveillant les teste pendant la procédure.
Par exemple, si l’authentification est réussie sur Facebook, FFDroider collecte toutes les pages et tous les signets Facebook, leurs informations de paiement et de facturation, ainsi que le nombre d’amis sur le compte de la victime à partir du gestionnaire de publicités Facebook. Une fois qu’ils ont obtenu ces informations, les hackers peuvent les utiliser pour mener des campagnes publicitaires malveillantes sur la plateforme de médias sociaux afin d’avoir la possibilité de distribuer leurs logiciels malveillants à un public plus large.
Les gens devraient éviter de télécharger des logiciels piratés
Les hackers s’intéressent généralement aux influenceurs des médias sociaux ou aux personnes disposant de comptes vérifiés, qui leur offrent une plateforme solide pour mener à bien leurs activités malveillantes.
Mais lorsqu’ils se connectent avec succès sur Instagram, le logiciel malveillant est utilisé pour ouvrir le compte et modifier la page Web afin d’exfiltrer le numéro de téléphone portable, l’adresse e-mail, le nom d’utilisateur, le mot de passe et d’autres détails importants du compte.
Après avoir réussi à voler les informations et à les envoyer au serveur de contrôle, FFDroid entre dans une autre phase de vol d’informations supplémentaires. Le logiciel malveillant se concentre maintenant sur le téléchargement de modules supplémentaires depuis les serveurs à des intervalles de temps spécifiques. Bien que les chercheurs n’aient pas fourni plus de détails sur ces modules, la capacité de téléchargement supplémentaire rend le logiciel malveillant encore plus dangereux. En conséquence, les chercheurs ont averti les gens d’éviter les sources de logiciels inconnus ainsi que les téléchargements de logiciels piratés pour ne pas être victime de ce type de logiciel malveillant.
