30.000 Facebook сметки хакирани преку фишинг кампања со Google AppSheet

Новооткриена операција поврзана со Виетнам е забележана како користи Google AppSheet како „фишинг посредник“ (phishing relay) за дистрибуција на фишинг-мејлови со цел компромитирање на Facebook сметки.

Активноста е именувана како AccountDumpling од страна на Guardio, при што шемата вклучува продажба на украдените сметки преку нелегална онлајн продавница управувана од напаѓачите. Се проценува дека околу 30.000 Facebook сметки биле хакирани како дел од оваа кампања.

„Она што го откривме не беше само еден фишинг кит“, напиша истражувачот за безбедност Shaked Chen во извештај споделен со The Hacker News. „Ова беше жива операција со панели за оператори во реално време, напредни техники за избегнување, постојана еволуција и криминално-комерцијален циклус кој тивко се храни од истите сметки што помага да се украдат.“

Овие наоди се уште еден пример како заканувачките актери од Виетнам продолжуваат да користат различни тактики за да добијат неовластен пристап до Facebook сметки, кои потоа се продаваат на подземни пазари за финансиска добивка.

Почетната точка на најновите напади е фишинг-мејл насочен кон сопственици на Facebook Business сметки, кој се претставува како порака од Meta Support и ги повикува да поднесат жалба, во спротивно нивната сметка ќе биде трајно избришана. Овие мејлови се испраќаат од адреса на Google AppSheet („noreply@appsheet.com“), што им овозможува да ги заобиколат спам филтрите.

Ова лажно чувство на итност се користи за да се насочат корисниците кон лажна веб-страница дизајнирана за собирање на нивните креденцијали. Вреди да се напомене дека слична кампања беше пријавена од KnowBe4 во мај 2025 година.

Во последните недели, овие кампањи усвоиле различни видови мамки дизајнирани да предизвикаат „Meta-поврзана паника“. Тие се движат од известувања за деактивација на сметки и жалби за авторски права, до проверки на верификација, регрутирање на извршни позиции и Facebook логин предупредувања. Четирите главни групи идентификувани од Guardio се наведени подолу:

• Страници на Facebook Help Center хостирани на Netlify, кои овозможуваат напади за преземање на сметки, како и собирање датуми на раѓање, телефонски броеви и фотографии од лични документи. Податоците на крај се испраќаат до Telegram канал контролиран од напаѓачите.
• Мамки за „Blue badge evaluation“ кои ги насочуваат жртвите кон страници хостирани на Vercel со наслови како „Security Check“ или „Meta | Privacy Center“, заштитени со лажна CAPTCHA проверка, по што корисниците се пренасочуваат кон фишинг страници за собирање контакт податоци, деловни информации, креденцијали (по принуден повторен обид) и 2FA кодови, кои потоа се испраќаат во Telegram канал.
• PDF документи хостирани на Google Drive кои се претставуваат како инструкции за верификација на сметка, со цел да се соберат лозинки, 2FA кодови, фотографии од лични документи и снимки од прелистувач преку html2canvas. Овие PDF-датотеки се генерирани преку бесплатна Canva сметка.
• Лажни понуди за работа кои имитираат компании како WhatsApp, Meta, Adobe, Pinterest, Apple и Coca-Cola, со цел да се изгради доверба кај жртвите и да се натераат да се приклучат на повик или да продолжат комуникација на сајтови контролирани од напаѓачите.

Севкупно, Telegram каналите поврзани со првите три групи содржат околу 30.000 записи за жртви, најголемиот дел од кои се лоцирани во САД, Италија, Канада, Филипините, Индија, Шпанија, Австралија, Обединетото Кралство, Бразил и Мексико, при што корисниците често се заклучени надвор од своите сметки.

Што се однесува до тоа кој стои зад операцијата, клучниот доказ доаѓа од PDF документите од третата група, генерирани преку бесплатна Canva сметка, каде во метаподатоците како автор се наведува виетнамско име „PHẠM TÀI TÂN“. Дополнителна отворено-изворна истрага довела до откривање на веб-страница („phamtaitan[.]vn“), каде се нудат услуги за дигитален маркетинг.

Во објава на X од февруари 2023 година, профилот поврзан со оваа страница наведува дека се „специјализирани за обезбедување услуги за дигитален маркетинг, маркетинг ресурси и консултации за ефективни дигитални маркетинг стратегии“.

„Земени заедно, тие формираат конзистентна слика за голема, виетнамска мега-операција“, изјави Chen. „Оваа кампања е поголема од едноставна злоупотреба на AppSheet. Таа е прозорец во мрачниот пазар околу украдени Facebook ресурси, каде пристап, бизнис идентитет, рекламна репутација, па дури и враќање на сметки станаа стоки за тргување. Ова е уште еден пример во моделот што постојано го гледаме: доверливи платформи повторно искористени како слоеви за испорака, хостирање и монетизација.“

Извори:

• The Hacker News – 30,000 Facebook Accounts Hacked via Google AppSheet Phishing Campaign The Hacker News