Quảng cáo này nằm trên trang Facebook https://www.facebook.com/ManagersAds có UID là 100063684641332
Trang này giả mạo biểu tượng giống hệt ứng dụng Ads Manager của Facebook trên các chợ ứng dụng:
Trang giả mạo
 |
Không những thế, kẻ lừa đảo còn có video hướng dẫn làm theo bằng tiếng Việt.
Video tiếng Việt để hướng dẫn cài đặt
Đường dẫn mega.nz đưa ta đến trang tải về tệp “Facebook group wall Cleaner 2021 .zip“
Tệp tin trên mega.nz
Giải nén tệp vừa tải về, chúng ta thấy được cấu trúc thư mục như dưới đây:
Mở tệp manifest.json , chúng ta có thể thấy extension này yêu cầu rất nhiều quyền:
Các quyền hạn được yêu cầu bao gồm:
- Host permission dành cho các url thuộc tên miền facebook[.]com và toolkit-for-fb[.]com
- storage: cho phép extension truy cập, thu thập dữ liệu người dùng
- notifications: cho phép extension tạo ra thông báo và hiển thị thông báo tới người dùng
- tabs: cho phép extension truy cập API chrome.tabs và chrome.windows
- contextMenus: cho phép extension thêm các mục vào menu ngữ cảnh của Chrome.
- webRequest & webRequestBlocking: cho phép extension giám sát và phân tích lưu lượng và để can thiệp, ngăn chặn và chỉnh sửa các yêu cầu gởi đi
- cookies: cho phép extension truy vấn và thay đổi giá trị cookie
Các bạn có thể tìm hiểu thêm về host permission tại đường dẫn sau: https://developer.mozilla.org/en-US/docs/Mozilla/Add-ons/WebExtensions/manifest.json/permissions
Tiếp tục, đối với các đoạn mã được nạp vào khi mở url chứa facebook[.]com, có 2 tệp javascript được chèn vô, trong đó tệp popup.dart.js có chứa mã đánh cắp thông tin của người dùng.
Khi đọc mã nguồn tệp popup.dart.js, Cyber Space đã phát hiện đoạn mã sau lén lút lấy cookie của người dùng và gửi cho kẻ lừa đảo:
Hàm chrome.cookie.getAll() trả về một mảng lưu trữ tất cả Cookie người dùng trong tên miền http://www.facebook.com:
Mảng này được truyền xuống hàm phía dưới để xử lý thành chuỗi. Từng giá trị cookie được thêm vào biến result, cùng với đó, biến currentUid lưu ID Facebook của người dùng:
Toàn bộ giá trị biến result được chuyển vào biến currentCookie, đồng thời lấy thông tin user-agent:
Đoạn mã độc tiếp tục fetch đến địa chỉ https://forgivemehihi%5B.%5Dblogspot%5B.%5Dcom/robots.txt, lấy thông tin về Telegram bot sắp sửa được sử dụng để gửi cookie đã đánh cắp. Ở đây ta có thể thấy Bot ID, Bot Token và Chat ID:
Dữ liệu lấy về được lưu trong mảng arr[ ], với arr[0] là Bot ID, arr[1] là Bot Token, arr[2] là Chat ID:
Các dữ liệu bao gồm UID của Facebook, cookie bị đánh cắp và Chat ID được đóng gói thành FormData object để chuẩn bị gửi đi:
Cuối cùng, toàn bộ dữ liệu được gửi đến Telegram Bot qua API:
Khi cài extension này và mở trong tab Facebook, lập tức toàn bộ giá trị cookie của người dùng bị gửi đến cho đối tượng:
Với giá trị cookie thu thập được này, đối tượng hoàn toàn có quyền kiểm soát tài khoản của người dùng.
Tương tự đối với extension được quảng cáo là có thể kiểm tra thông tin Facebook cũng chứa đoạn mã có cấu trúc tương tự.
Người dùng MXH nên cẩn trọng không cài đặt và nghe theo bất cứ quảng cáo nào hấp dẫn từ phía các tin tặc.
Các dấu hiệu của kẻ lừa đảo:
- “Facebook group wall Cleaner 2021.zip” SHA256: 62AA96ACC420CD92C3D848F77BC71D81ED06167D78192458CD2E87F00AB3BF49
- “Facebook Ads Check by SMIT 1.3.3.zip” SHA256: B5DB4CA09DE08F5BF934A2703DEA62D60F0A593E58EED2FCB92AD308C073E317
Nguồn: cyberlances