Предупреждающая кампания о распространении вредоносного кода через страницы с «зеленой галочкой» в Facebook

Еще в мае Meta незаметно выпустила отчет о безопасности последних угроз, основанных на вредоносных программах, нацеленных на пользователей Facebook. С появлением AI и ChatGPT давние штаммы вредоносных программ, в том числе Ducktail и NodeStealer, постепенно вновь появились и сыграли центральную роль в кампании против рекламной системы Facebook для распространения. несанкционированное вредоносное ПО.

Схема реализации не сложная. Хакеры будут нацеливаться на проверенные (зеленая галочка) страницы Facebook и переименовывать их в надежные бренды, такие как Facebook, Meta, Google AI, Bard и т. д. Эти страницы с ребрендингом с проверенной зеленой галочкой затем используются для показа рекламы со ссылками на вредоносное ПО.

Сторона Meta утверждает, что нарушила работу нескольких штаммов вредоносных программ с возможностью быстрой адаптации в некоторых кампаниях атак. Согласно отчету Group-IB, более 3200 страниц и профилей в Facebook были скомпрометированы, чтобы выдать себя за технологические бренды, включая недавно популярные ключевые слова, такие как AI, ChatGPT и Bard. После двух месяцев отсутствия группы вредоносного ПО продолжают сеять хаос в Facebook, проводя новую атакующую кампанию.

На этот раз действия по рекламе вредоносного ПО распространялись хакерами через взломанные страницы Facebook. Международные исследователи безопасности недавно обнаружили группу этих вредоносных объявлений, имитирующих Google. Объявление содержит ссылку на страницу загрузки, размещенную на платформе Google Sites. Он включает в себя прямую ссылку для загрузки, хранящуюся в DropBox, в файл RAR, который на самом деле представляет собой вредоносное ПО размером 4,26 МБ.

Фактически, Chrome может обнаруживать вредоносное ПО во время загрузки и останавливать его до того, как оно попадет на устройство. Однако проблема в том, что Защитник Windows не определяет это программное обеспечение как вредоносное, даже если в системе запущен его установщик.

На приведенном ниже снимке экрана показан один из вредоносных веб-сайтов, размещенных на site.google.com.

Чтобы ограничить воздействие вредоносных программ на пользователей и повысить осведомленность, Facebook добавил раздел «Прозрачность страницы» на все страницы, чтобы показать историю изменений имени, страны происхождения и другие сведения о сайте. Два недавно взломанных сайта «গাছগাছালি» 19 июля и «SONAX Бангладеш» 27 июля были переименованы в AI Marketing.

На данный момент эти страницы по-прежнему активны, ссылка на вредоносное ПО по-прежнему доступна и размещается в DropBox. Следует опасаться мгновенных загрузок с, казалось бы, проверенных страниц на Facebook. Если вы не уверены в подлинности сайта, вы можете перейти к разделу «О сайте» для получения подробной информации об истории сайта и любых прошлых изменениях названия.