Ducktail colpisce ancora gli account Facebook Business

Ducktail colpisce ancora gli account Facebook Business

Una nuova versione di Ducktail, scritta in PHP, viene utilizzata per accedere agli account di Facebook Business ed eseguire varie attività illecite.
Una nuova versione di Ducktail, scritta in PHP, viene utilizzata per accedere agli account di Facebook Business ed eseguire varie attività illecite.

Una vecchia conoscenza è tornata sulla scena in una nuova veste. Gli esperti di Zscaler hanno scoperto una nuova variante dell’info-stealer Ducktail che prende di mira gli account Facebook Business per accedere alle informazioni finanziarie. Stavolta il codice è scritto in PHP, ma il metodo usato per la distribuzione del malware è rimasto invariato.

Ducktail: nuova versione con identici obiettivi

Come detto, il metodo usato per distribuire il malware è lo stesso della prima variante. Le vittime vengono invitate a scaricare una presunta versione gratuita o “craccata” delle applicazioni Office o di giochi dai servizi di file hosting (MediaFire in questo caso). I file eseguibili sono conservati in formato ZIP. Mentre la vittima vede sullo schermo il messaggio “Verifica compatibilità dell’applicazione“, tutti i file necessari (incluso l’interprete PHP) vengono copiati su disco.

La catena di infezione prevede quindi l’esecuzione di due processi per altrettanti scopi. Il primo aggiunge attività pianificate per la persistenza, ovvero l’avvio del malware ad intervalli regolari. Il secondo si occupa del furto delle informazioni, tra cui i cookie dei browser e i dettagli degli account Facebook Business e Facebook Ads Manager. Questi dati possono essere utilizzati per frodi finanziarie o campagne di malvertising.

L’invio al server remoto non viene più effettuato tramite un bot di Telegram, ma in formato JSON. I nuovi attacchi possono essere indirizzati anche contro utenti privati, non solo dipendenti aziendali che gestiscono le campagne pubblicitarie su Facebook. È quindi assolutamente indispensabile una soluzione di sicurezza che rileva e blocca questo tipo di minaccia.

Questo articolo contiene link di affiliazione: acquisti o ordini effettuati tramite tali link permetteranno al nostro sito di ricevere una commissione. Le offerte potrebbero subire variazioni di prezzo dopo la pubblicazione.

Fonte: Zscaler
Link copiato negli appunti

Ti potrebbe interessare

Pubblicato il 17 ott 2022
Link copiato negli appunti