Des pirates informatiques attaquent les utilisateurs de Facebook via des publicités à caractère pornographique.

Des chercheurs en cybersécurité de Bitdefender Labs, société roumaine de développement de logiciels de cybersécurité et antivirus, ont partagé des détails sur une nouvelle vague d'escroqueries basées sur des logiciels malveillants ciblant le réseau publicitaire Facebook de Meta afin de voler des données d'utilisateurs grâce au déploiement du logiciel malveillant NodeStealer.

NodeStealer a été découvert par Meta (la société mère de Facebook et Instagram) en mai 2023. La dernière version de NodeStealer est écrite en Python (auparavant en JavaScript), un langage de programmation largement utilisé pour les applications web, le développement logiciel, la science des données et l'apprentissage automatique. Ce logiciel malveillant est capable de récupérer les cookies et les mots de passe stockés sur les navigateurs web afin de voler des comptes Facebook, Gmail et Outlook.

Il s'agit d'un outil de vol de données conçu pour dérober des données sensibles des utilisateurs, notamment les cookies de navigation et les mots de passe. Il permet aux opérateurs de prendre le contrôle de comptes Facebook, Gmail, Outlook et autres.

Les chercheurs en sécurité de Bitdefender expliquent que lorsqu'un utilisateur clique sur une publicité malveillante (contenant des images suggestives), son navigateur télécharge immédiatement le fichier PhotoAlbum.exe. Si la victime ouvre ce fichier, la dernière version du logiciel malveillant NodeStealer sera téléchargée.

Meta a été la cible de logiciels malveillants, notamment sur le réseau de comptes Facebook Business, où des acteurs malveillants tentent de voler les informations de connexion et de paiement des utilisateurs.

D'après un article de blog de Bitdefender publié le 31 octobre 2023, l'outil Gestionnaire de publicités de Meta est activement exploité dans ces escroqueries. Les chercheurs ont constaté que la campagne cible les utilisateurs masculins de Facebook originaires d'Afrique, d'Europe et des Caraïbes, âgés de 18 à 65 ans, mais principalement les hommes de plus de 45 ans.

D'après une étude de Bitdefender, les cybercriminels ciblent désormais les utilisateurs Facebook particuliers, en plus des comptes professionnels. Les auteurs de ces attaques utilisent le crédit publicitaire des comptes professionnels compromis pour diffuser des publicités trompeuses infectées par des logiciels malveillants, afin de propager ces derniers auprès d'utilisateurs non avertis.

Cette campagne consistait à diffuser des publicités présentant des images à caractère sexuel explicite de jeunes femmes. À cette fin, les auteurs ont créé de fausses pages Facebook sur lesquelles ils diffusaient des publicités contenant des photos suggestives de jeunes femmes, dont beaucoup étaient générées par intelligence artificielle ou retouchées. Selon les chercheurs, certains de ces faux profils ont effectué des actions similaires :

Mise à jour de l'album.

• Mettre à jour les albums privés.

• Mise à jour des actualités de l'album Girl.

• Mise à jour des albums les plus populaires du jour.

• Mise à jour de l'album aujourd'hui.

• Mise à jour de l'album privé aujourd'hui.

Ces albums renvoient vers des dépôts GitLab ou Bitbucket hébergeant des archives contenant des fichiers exécutables Windows et installant une nouvelle variante du logiciel malveillant NodeStealer. Les attaquants incitent également les utilisateurs à télécharger ces archives multimédias grâce à de courtes descriptions. Par exemple, ils publient des annotations telles que « À regarder avant suppression » ou « Nouveau contenu en ligne aujourd'hui ».

Lorsqu'un utilisateur non averti clique sur une publicité ou une image, il est redirigé vers un site web malveillant et invité à télécharger un fichier intitulé « Album photo ». Il s'agit d'une archive contenant un fichier exécutable malveillant.

De plus, une fois installé sur l'appareil de la victime, NodeStealer commence à dérober des données telles que les identifiants de connexion au compte Facebook, les cookies de navigation et d'autres données personnelles, que l'attaquant utilise ensuite pour compromettre le compte. En seulement 10 jours, ce logiciel potentiellement malveillant a été téléchargé 100 000 fois, et une seule publicité a généré environ 15 000 téléchargements en 24 heures.

Le site Hackread avait précédemment signalé une campagne au cours de laquelle des pirates informatiques ont compromis des comptes professionnels Facebook à l'aide de NodeStealer 2.0 et dérobé des cryptomonnaies. Cette campagne a été découverte en août par des chercheurs de la multinationale américaine de cybersécurité Palo Alto Networks.

On ignore quel groupe de cybercriminels est à l'origine de cette récente campagne. Toutefois, les experts en sécurité mettent en garde les utilisateurs de Facebook et les incitent à la prudence lorsqu'ils cliquent sur des publicités ou consultent des sites web.

Selon les experts en sécurité, pour minimiser les risques d'attaques, les titulaires de comptes Facebook doivent toujours utiliser des solutions de sécurité sur leurs appareils en utilisant des mots de passe robustes et en activant l'authentification à deux facteurs dans les paramètres, tout en veillant à ce que leurs solutions de sécurité soient toujours à jour.

De plus, les utilisateurs de Facebook ne devraient ajouter comme amis que des personnes qu'ils connaissent et en qui ils ont confiance ; éviter de cliquer sur des liens ou de télécharger des pièces jointes provenant d'inconnus ; et signaler toute activité suspecte à Facebook.