Alattomos károkozót leplezett le a Facebook

A Facebook egy olyan kártékony programról számolt be, amely a felhasználók tudta nélkül tett teljes mértékben kiszolgáltatottá profilokat.
 

Az utóbbi időben jól megfigyelhető jelenségnek számít, hogy a kiberbűnözők sütik (cookie-k) gyűjtésével, eltulajdonításával igyekeznek visszaéléseket elkövetni különféle online rendszerek, illetve szolgáltatások ellen. Ezáltal ugyanis nincs szükség arra, hogy ellopják a felhasználók bejelentkezési adatait, sőt még a kétfaktoros hitelesítést is megkerülhetik. Mindezt olyan módon, hogy a védelmi rendszerekben sem keltenek feltűnést.
 
A Facebook sem jelent kivételt a célpontok alól, amit a közösségi oldal üzemeltetőinek legutóbbi beszámolója is jól alátámaszt. A szakemberek ugyanis egy olyan kártékony programra, valamint ahhoz kapcsolódó támadássorozatra hívták fel a figyelmet, amely szintén cookie-kal történő csalásokra adott lehetőséget.
 
A NodeStealer nevű károkozó először idén januárban került a Facebook biztonsági csapatának látókörébe. A rendelkezésre álló adatok szerint a károkozót a terjedésének kezdetét követő két héten belül sikerült azonosítani, és megtenni azokat a lépéseket, amik révén a szerzemény méregfoga kihúzhatóvá vált.

Nem kis jószág

A NodeStealer alapvetően JavaScript és Node.js megoldásokra épül, ezáltal Windows mellett macOS és Linux alatt is veszélyt rejt. A nemkívánatos kódjait egy körülbelül 50 MB-os állomány tartalmazza. Amikor ez elindul (többnyire a felhasználó megtévesztése után), akkor a Node.js auto-launch modul révén gondoskodik arról, hogy a fertőzött rendszer újraindulása után is életképes maradjon. Feltérképezi az érintett rendszeren futó webböngészőket, és a Chromium alapú alkalmazásokból (beleértve a Chrome, az Edge, az Opera és a Brave böngészőket is), elkezdi kigyűjteni a cookie-kat. Elsősorban a Facebook, a Gmail és az Outlook fiókokhoz tartozó sütik, valamint hitelesítő adatok érdeklik. 
 
A sütik kiexportálását követően a szerzemény Facebook API-k segítségével - a felhasználó nevében és IP-címével - lekérdezi az adott profil legfontosabb adatait, amiket aztán ki is szivárogtat. A kártevő egyebek mellett azt is lekérdezi, hogy a kompromittált fiók révén van-e lehetőség facebookos hirdetések publikálására. Ha van, akkor ezt a csalók arra használhatják fel, hogy hamis információkat terjesszenek, vagy egyéb kártékony kódok terjedését segítsék elő.
 
A Facebook közleménye szerint a NodeStealer terjedését sikerült megállítani, ugyanakkor mindez nem jelenti azt, hogy egyéb, hasonló célú kártevők ne okozhatnának újabb problémákat. Ezért az általános vírusvédelmi megfontolásokat már csak ezért is érdemes követni.