IT-säkerhetsföretaget Withsecure har upptäckt en pågående hacking-kampanj, som givits namnet "Ducktail". Hackarna riktar sig mot individer och organisationer som använder Facebooks Ads och Business-plattform. Baserat på analys och insamlade data är Withsecure säkra på att denna operation utförs av en Vietnam-baserad aktör. Beviskedjan tyder även på att hotaktörens motiv är ekonomiskt motiverade.

Kapar Facebook Business-konton

Ducktail använder skadlig kod med en infostealer-komponent som är speciellt utformad för att kapa Facebook Business-konton. Detta är den första gången som Withsecure upptäckt denna typ av IT-attack, och den skiljer sig från annan skadlig programvara som riktat sig mot Facebook tidigare. Den skadliga programvaran är utformad för att stjäla webbläsarcookies och dra fördel av autentiserade Facebook-sessioner för att stjäla information från den drabbades Facebook-konto och i slutändan kapa alla Facebook Business-konton som den drabbade har tillgång till.

Nätfiskar via Linkedin

Withsecure har funnit att Ducktail letar upp och nätfiskar sina mål via LinkedIn, där den väljer ut användare som sannolikt har hög åtkomstnivå till Facebook Business-konton, särskilt dem med administratörbehörighet.

– Vi tror att Ducktail-hackarna noggrant väljer ut ett litet antal mål för att öka sina chanser att lyckas och förbli oupptäckta. Vi har observerat att individer med ansvar för digital marknadsföring och digitala medier samt HR-roller i företag har blivit måltavlor, säger Mohammad Kazem Hassan Nejad, forskare vid Withsecure Intelligence.

Withsecure, som tidigare i år upptäckte en okänd skadlig programvara, började spåra och analysera verksamheten och fann att hotaktören hade utvecklat och distribuerat den Ducktail-länkade skadliga programvaran sedan andra halvan av 2021. Ducktail-verksamheten har sedan dess fortsatt att uppdateras och tryckt ut skadlig programvara i ett försök att förbättra dess förmåga att kringgå befintliga eller nya säkerhetsfunktioner hos Facebook tillsammans med andra implementerade funktioner.

. – Många spear phishing-kampanjer riktar sig till användare på LinkedIn. Om du har en roll med administratörsåtkomst till företagets sociala mediekonton är det viktigt att vara försiktig när du interagerar med andra på sociala medieplattformar, speciellt när det handlar om bilagor eller länkar som skickats från personer som du inte är bekant med, säger Mohammad Kazem Hassan Nejad.

Populära medieplattformar lockar kriminella

Sociala nätverk och medieplattformarnas popularitet fortsätter att öka. Tyvärr lockar detta även cyberbrottslingar att hitta sätt att missbruka dessa plattformar för egen vinning, som att använda dem för distribution av skadlig programvara, stöld, desinformationskampanjer och bedrägerier. Skadlig programvara som riktar sig mot sociala plattformar som Facebook har hittills varit relativt ovanlig på grund av de säkerhetsmekanismer som implementerats av plattformarna. Ändå gör den breda räckvidden och användarbasen det till en intressant attackvektor för hotaktörer att missbruka.

Withsecure har delat sin Ducktail-forskning med Facebooks moderbolag Meta innan den släpptes.