Cyberataki na konta Facebook Business kosztują ofiary setki tysięcy dolarów

Grupa stojąca za DUCKTAIL – atakami, których celem są użytkownicy i firmy korzystające z Facebook Ads i Facebook Business, modyfikuje swój sposób działania. Cyberprzestępcy z Wietnamu wykorzystują nowe kanały dotarcia do ofiar, w tym m.in. aplikację WhatsApp. Straty w niektórych firmach wyniosły nawet kilkaset tysięcy dolarów.

 

Nowe metody ataku

DUCKTAIL od 2021 roku wykorzystuje serwis LinkedIn do namierzania osób i firm obecnych na platformie Facebook Ads i Business, aby przejmowa konta ofiar. Wykorzystuje komponent złośliwego oprogramowania typu infostealer, specjalnie zaprojektowanego do przejmowania kont Facebook Business. Zostało ono stworzone do wykradania cookies przeglądarki i wykorzystywania uwierzytelnionych sesji Facebooka w celu pobrania informacji z konta ofiary. Ostatecznie przejmowane są wszystkie konta Facebook Business, do których zaatakowana osoba ma wystarczający dostęp.

Specjaliści z firmy WithSecure ujawnili sposób działania cyberprzestępców w lipcu tego roku. Z najnowszych analiz wynika, że grupa zmieniła metody ataków, aby omijać zabezpieczenia i rozszerzyć swoją działalność.

– Nie widzimy żadnych oznak spowolnienia działalności grupy DUCKTAIL w ostatnim czasie. Gdy pojawiają się niepowodzenia, operacja szybko ewoluuje. Do tej pory, zespół stojący za atakami był stosunkowo niewielki, jednak to się zmieniło – tłumaczy Mohammad Kazem Hassan Nejad, badacz z firmy WithSecure.

Phishing przez WhatsApp

Aktywność DUCKTAIL od początku września zmienia charakter, poprzez między innymi:

– nowe kanały ataków phishingowych, takie jak WhatsApp (wcześniej był to głównie LinkedIn);

– dalszy rozwój złośliwego oprogramowania– skuteczniejszy sposób kradzieży adresów e-mail i bardziej wiarygodny wygląd – otwieranie fałszywych dokumentów i plików wideo po uruchomieniu witryny;

– omijanie zabezpieczeń poprzez zmianę formatu plików i kompilacje, a także kontrasygnowanie certyfikatów;

– zakładanie dodatkowych fałszywych firm w Wietnamie i włączanie kolejnych podmiotów w przestępcze operacje.

– Większość uwagi zazwyczaj poświęca się atakom typu ransomware. Jednak zagrożenia takie jak DUCKTAIL mogą powodować znaczne szkody finansowe i wizerunkowe, dlatego nie powinny być pomijane – podkreśla Paolo Palumbo, wiceprezes w WithSecure Intelligence – Wraz ze zwiększoną aktywnością cyberprzestępców z Wietnamu, nowymi oddziałami i fałszywymi firmami, spodziewamy się wzrostu incydentów związanych z działalnością DUCKTAIL w najbliższej przyszłości.

Wysoka cena ataku

Zespół reagowania na incydenty firmy WithSecure pomógł kilku firmom, które padły ofiarą ataków DUCKTAIL i podobnych zagrożeń na platformie Ads & Business Facebooka. Straty spowodowane atakami wahały się od niewielkich kwot do nawet 600 tys. dolarów kredytu na kontach reklamowych.

Według Johna Rogersa, globalnego szefa działu reagowania na incydenty w firmie WithSecure, tego typu zagrożenia stanowią wyzwanie dla firm, ze względu na brak rozdzielenia kont osobistych i biznesowych:

– Używanie tych samych zasobów zarówno do celów osobistych, jak i służbowych może rodzić problemy. Na przykład zbadanie ewentualnego incydentu DUCKTAIL może wymagać dostępu do logów dotyczących historii konta danej osoby, a to może mieć wiele nieprzewidzianych konsekwencji operacyjnych, etycznych czy prawnych. Problem ten dotyczy firm i ich pracowników, więc obie strony muszą mieć świadomość ryzyka.

Jak się zabezpieczyć?

Eksperci firmy WithSecure do ochrony przed DUCKTAIL i podobnymi zagrożeniami sugerują:

– zwiększanie świadomości na temat phishingu wśród użytkowników z dostępem do kont biznesowych Facebook/Meta;

– stworzenie listy dozwolonych aplikacji, aby zapobiec uruchamianiu przez użytkowników nieznanych plików ;

– wykorzystywanie rozwiązań typu EDR/EPP (Endpoint Detection Response/End Point Protection) do zapobiegania i wykrywania złośliwego oprogramowania na wczesnych etapach ataku;

– upewnienie się, że urządzenia na których używane są firmowe konta Facebook są wyposażone w podstawowe środki ochrony;

– korzystanie z trybu prywatnego, aby uwierzytelnić każdą sesję roboczą podczas uzyskiwania dostępu do kont Facebook Business (sesja jest wtedy „wymazywana” po zakończeniu, co zapobiega kradzieży i nadużywaniu plików cookie);

– przestrzeganie zalecanych przez Meta praktyk bezpieczeństwa;

– w przypadku podejrzanego incydentu jak najszybsze pobieranie i analizowanie logów.

 

Pełna analiza dostępna jest pod linkiem: https://labs.withsecure.com/publications/ducktail-returns

Dodatkowe informacje na temat DUCKTAIL: https://labs.withsecure.com/publications/ducktail.