Bereits seit einiger Zeit setzen Cyberkriminelle falsche Werbeanzeigen auf Social-Media-Plattformen wie Facebook ein, um gefälschte Gewinnspiele, Malware oder andere Betrügereien zu verbreiten. Doch in den vergangenen Monaten hat das sogenannte Malvertising eine neue Dimension erreicht, wie Sicherheitsforscher von WithSecure berichten. Da Unternehmen mittlerweile immer häufiger auf die Werbewirkung der sozialen Medien setzen, haben auch die Cyberkriminellen ihr Arsenal erweitert, indem sie versuchen, Business Accounts auf Plattformen wie Facebook zu übernehmen. Besonders die Gruppierungen Ducktail und NodeStealer tun sich dabei hervor.
Um an ihr Ziel zu gelangen, nutzen die Angreifer Social Enineering. Dabei wird das Opfer auf unterschiedlichen Kanälen angesprochen, etwa über Facebook, LinkedIn oder WhatsApp. Ein anderer Trick ist Search Engine Poisoning, um gefälschte Software wie CapCut, Notepad++, ChatGPT, Google Bard und Meta Threads zu verbreiten. Häufig werden auch Link-Shortener dabei ausgenutzt, Telegram für Command-and-Control (C2) eingesetzt und legitime Cloud-Dienste wie Trello, Discord, Dropbox, iCloud, OneDrive und Mediafire zum Hosten der bösartigen Payloads genutzt.
Die Kriminellen hinter Ducktail nutzen beispielweise Markennamen und Marketingprojekte als Köder, um ihre Opfer auf der Business-Plattform von Meta zu infiltrieren. Bei diesen Angriffen werden die potenziellen Opfer über Werbung auf Facebook oder LinkedIn zu falschen Anzeigen auf Upwork oder Freelancer geleitet. Diese enthalten dann einen manipulieren Link zu einer Jobbeschreibung, die auf einem der erwähnten Cloud-Speicher liegt, hinter der sich die Ducktail-Malware verbirgt. Diese Spyware ist in der Lage, gespeicherte Session Cookies aus den Speichern von Browsern auszulesen, mit einem klaren Fokus auf die Übernahme von Facebook Business Accounts. Übernommene Accounts werden dann offenbar über das Darknet für Preise zwischen 15 und 340 US-Dollar verkauft, wie Untersuchungen von Zscaler ThreatLabz ergaben.
Doch nicht nur auf Facebook besteht die Gefahr, dass Firmenaccounts von Angreifern übernommen werden. Das neueste Update der untersuchten Malware ergab, dass auch X (ehemals Twitter), TikTok Business und Google Ads gefährdet sind. Darüber hinaus können die erbeuteten Facebook Session Cookies dafür eingesetzt werden, um weitere gefälschte Anzeigen zu generieren.
Um den rechtmäßigen Besitzer aus dem Konto auszusperren, müssen die Kriminellen lediglich die hinterlegte E-Mail-Adresse gegen eine eigene austauschen und dann das Passwort ändern. Je größer die Reichweite des erbeuteten Accounts, desto wertvoller ist er für die Kriminellen. Denn oft wird er genutzt, um weitere potenzielle Opfer anzusprechen –ein etablierter, glaubwürdiger Account hilft dabei ungemein.
Schutz vor solchen Angriffen bietet eine erhöhte Sensibilität für die Gefahren des Social Engineering. Denn erst wenn die Cyberkriminellen ihre Malware platziert haben, können sie die Zugangsdaten für die Social-Media-Accounts auch tatsächlich erbeuten. Darüber hinaus sollte, wann immer möglich, eine Mehr-Faktor-Authentifizierung genutzt werden. Dadurch können unbefugte Zugriffe nicht so einfach erfolgen und auch die Zugangsdaten nicht direkt ersetzt werden.
Um an ihr Ziel zu gelangen, nutzen die Angreifer Social Enineering. Dabei wird das Opfer auf unterschiedlichen Kanälen angesprochen, etwa über Facebook, LinkedIn oder WhatsApp. Ein anderer Trick ist Search Engine Poisoning, um gefälschte Software wie CapCut, Notepad++, ChatGPT, Google Bard und Meta Threads zu verbreiten. Häufig werden auch Link-Shortener dabei ausgenutzt, Telegram für Command-and-Control (C2) eingesetzt und legitime Cloud-Dienste wie Trello, Discord, Dropbox, iCloud, OneDrive und Mediafire zum Hosten der bösartigen Payloads genutzt.
Die Kriminellen hinter Ducktail nutzen beispielweise Markennamen und Marketingprojekte als Köder, um ihre Opfer auf der Business-Plattform von Meta zu infiltrieren. Bei diesen Angriffen werden die potenziellen Opfer über Werbung auf Facebook oder LinkedIn zu falschen Anzeigen auf Upwork oder Freelancer geleitet. Diese enthalten dann einen manipulieren Link zu einer Jobbeschreibung, die auf einem der erwähnten Cloud-Speicher liegt, hinter der sich die Ducktail-Malware verbirgt. Diese Spyware ist in der Lage, gespeicherte Session Cookies aus den Speichern von Browsern auszulesen, mit einem klaren Fokus auf die Übernahme von Facebook Business Accounts. Übernommene Accounts werden dann offenbar über das Darknet für Preise zwischen 15 und 340 US-Dollar verkauft, wie Untersuchungen von Zscaler ThreatLabz ergaben.
Doch nicht nur auf Facebook besteht die Gefahr, dass Firmenaccounts von Angreifern übernommen werden. Das neueste Update der untersuchten Malware ergab, dass auch X (ehemals Twitter), TikTok Business und Google Ads gefährdet sind. Darüber hinaus können die erbeuteten Facebook Session Cookies dafür eingesetzt werden, um weitere gefälschte Anzeigen zu generieren.
Um den rechtmäßigen Besitzer aus dem Konto auszusperren, müssen die Kriminellen lediglich die hinterlegte E-Mail-Adresse gegen eine eigene austauschen und dann das Passwort ändern. Je größer die Reichweite des erbeuteten Accounts, desto wertvoller ist er für die Kriminellen. Denn oft wird er genutzt, um weitere potenzielle Opfer anzusprechen –ein etablierter, glaubwürdiger Account hilft dabei ungemein.
Schutz vor solchen Angriffen bietet eine erhöhte Sensibilität für die Gefahren des Social Engineering. Denn erst wenn die Cyberkriminellen ihre Malware platziert haben, können sie die Zugangsdaten für die Social-Media-Accounts auch tatsächlich erbeuten. Darüber hinaus sollte, wann immer möglich, eine Mehr-Faktor-Authentifizierung genutzt werden. Dadurch können unbefugte Zugriffe nicht so einfach erfolgen und auch die Zugangsdaten nicht direkt ersetzt werden.
