Một nhóm hacker nguy hiểm người Việt Nam đã bị đưa ra là tác nhân đứng sau chiến dịch "malverposting" trên các nền tảng mạng xã hội nhằm xâm nhập vào hơn 500.000 thiết bị trên toàn cầu trong ba tháng qua để phát tán các biến thể của phần mềm đánh cắp thông tin như S1deload Stealer và SYS01stealer.

Malverposting đề cập đến việc sử dụng các bài đăng được quảng cáo trên các dịch vụ mạng xã hội như Facebook và Twitter để phổ biến phần mềm độc hại và các mối đe dọa an ninh khác. Nhóm hacker mở rộng cuộc tấn công bằng cách trả tiền quảng cáo để "tăng cường" bài đăng của nhóm.

Theo Guardio Labs, các cuộc tấn công bắt đầu bằng cách tạo các hồ sơ doanh nghiệp mới và chiếm đoạt các tài khoản nổi tiếng để đăng quảng cáo cho những album ảnh người lớn miễn phí.

Trong các tệp nén ZIP này là những hình ảnh được cho là thật nhưng thực chất là các tệp thực thi, khi nhấp chuột vào đó sẽ kích hoạt chuỗi nhiễm và cuối cùng triển khai phần mềm đánh cắp để hút dữ liệu phiên, dữ liệu tài khoản và các thông tin khác.

Chuỗi tấn công rất hiệu quả vì nó tạo ra một "vòng luẩn quẩn" trong đó thông tin bị đánh cắp bằng cách sử dụng phần mềm trộm dữ liệu để tạo ra một lượng tài khoản bot Facebook bị chiếm đoạt ngày càng mở rộng hơn ,sau đó dùng để đẩy thêm các bài đăng tài trợ ẩn chứa phần mềm đánh cắp làm tăng thêm quy mô của kế hoạch.

Để tránh bị phát hiện bởi Facebook, nhóm tấn công được tìm thấy sử dụng các trang hồ sơ doanh nghiệp mới được tạo ra dưới dạng các tài khoản nhiếp ảnh gia. Đa số các lây nhiễm đã được báo cáo tại Australia, Canada, Ấn Độ, Anh và Hoa Kỳ.

Phương pháp triển khai của phần mềm đánh cắp dựa trên PHP được cho là liên tục tiến hóa để tích hợp nhiều tính năng tránh phát hiện hơn, cho thấy rằng nhóm tấn công đứng sau chiến dịch đang chủ động hoàn thiện và cập nhật lại các chiến thuật của họ để đáp ứng các tiết lộ bảo mật công khai.

"Payload độc hại khá tinh vi và luôn biến đổi, áp dụng các kỹ thuật lẩn tránh mới," nhà nghiên cứu bảo mật của Guardio Labs Nati Tal cho hay.

Các phát hiện này đến khi Group-IB tiết lộ chi tiết của một hoạt động lừa đảo đang tiếp diễn nhằm vào người dùng Facebook bằng cách lừa họ nhập thông tin đăng nhập trên các trang web giả mạo được thiết kế để đánh cắp thông tin đăng nhập và kiểm soát các hồ sơ.

Ngoài ra, Malwarebytes đã phát hiện một chiến dịch malvertising lừa đảo người dùng tìm kiếm trò chơi và công thức thực phẩm trên Google để phục vụ quảng cáo độc hại, chuyển hướng họ đến các trang web giả mạo được tạo trên Weebly với mục đích đánh cắp thông tin.