攻击者劫持 Facebook 页面用于推广恶意 AI 照片编辑器
内容提要
攻击者利用人工智能照片编辑器诱骗Facebook用户窃取凭据信息。滥用付费促销活动引诱用户下载恶意软件。活动在Windows和macOS上产生大量下载。研究人员建议用户更新密码、启用多因素身份验证并提高对社交媒体威胁的意识。
延伸解读
攻击链的起点：钓鱼获取页面控制权
攻击者首先向目标Facebook页面管理员发送钓鱼信息，这些信息通常包含随机生成的用户名和看似合法的链接（如linkup.top、bio.link等），甚至滥用Facebook的开放重定向URL。一旦管理员点击，会被引导至虚假的Meta业务支持中心页面，要求验证信息，进而窃取登录凭据。获得页面控制权后，攻击者便利用该页面发布恶意广告，形成完整的攻击链条。
恶意广告的传播与平台差异
攻击者滥用Facebook的付费促销活动，推广伪装成AI照片编辑器的恶意软件。广告链接指向使用合法工具名称（如Evoto）的虚假域名，诱导用户下载。恶意软件在Windows上产生了约16000次下载，而在macOS上仅1200次，且macOS版本重定向至苹果网站，表明攻击者主要针对Windows用户。这种差异可能源于攻击者认为Windows用户更易得手或Windows系统更利于后续攻击。
最终载荷：Lumma窃取器的威胁
用户下载的看似AI照片编辑器的程序，实际上是免费的ITarian端点管理软件，攻击者通过一系列后端进程控制，最终在受害者机器上安装Lumma窃取器。该窃取器专门盗取敏感信息，包括用户凭据、系统详细信息、浏览器数据和扩展。这种利用合法工具进行恶意操作的手法，增加了检测难度，也使得攻击更具隐蔽性。
防护建议：多因素认证与意识提升
趋势科技建议用户在所有账户上启用多因素身份验证，并定期更新使用强大且唯一的密码。企业应定期开展教育和提高认识活动，让员工了解社交媒体上潜伏的危险，以及如何识别钓鱼攻击相关的可疑信息和链接。同时，企业和个人用户都应监控账户异常行为，如意外登录尝试或账户信息变更，并采用检测和响应机制。
Q&A
攻击者是如何劫持Facebook页面的？
攻击者通过发送网络钓鱼信息获取页面控制权，诱骗用户下载恶意软件。
恶意软件伪装成什么工具？
恶意软件伪装成合法的人工智能照片编辑器，实际上是Lumma窃取器。
用户如何保护自己的Facebook账户？
用户应定期更新密码，启用多因素身份验证，并提高对社交媒体威胁的意识。
这次攻击主要针对哪个操作系统？
此次攻击主要针对Windows用户，macOS用户的下载量较少。
攻击者如何利用社交工程进行攻击？
攻击者通过发送钓鱼链接，诱使目标用户提供个人信息，从而控制社交媒体页面。
企业应如何提高员工的安全意识？
企业应定期开展教育活动，让员工了解社交媒体上的潜在威胁和识别可疑信息的方法。
