Facebookビジネスアカウントの乗っ取り攻撃 - LinkedInで攻撃対象を物色

ファイル名には、ブランドや製品、プロジェクト計画などのキーワードを用いるなどソーシャルエンジニアリングを行っており、「Dropbox」「iCloud」などクラウドサービス上にファイルがホスティングされているケースも見られる。

マルウェアは「.NET Core」でコーディングされており、単一の実行ファイルとして生成されていた。Sectigo（旧Comodo）が発行した有効な証明書で署名されており、6月末に証明書の期限を迎えるも、その後も更新された証明書が用いられているという。

マルウェアは、対象者のマシン上でブラウザをGUIが表示されないヘッドレスモードで起動し、動作環境などの情報を収集。

くわえて正規のアクセスに見せかけることでFacebookのセキュリティ機能を回避し、Cookieや稼働環境、氏名や誕生日、メールなどユーザーに関連する情報を窃取していると見られる。

さらに広告アカウントの情報のほか、ビジネスページに新しいユーザーを追加したり、2要素認証のリカバリーコードなども取得。攻撃者のメールアドレスにFacebookのビジネスアカウントの権限を付与しようとしていた。

（Security NEXT - 2022/07/29 ）ツイート