据Bleeping Computer消息，Zscaler的研究人员正追踪一款名为FFDroider 的新型信息窃取程序，它正通过窃取存储在浏览器中的凭证和 cookie 以劫持受害者的社交媒体帐户。
与许多恶意软件一样，FFDroider通过利用伪装成破解软件、免费软件、游戏和其他从 torrent站点下载的文件进行传播。在下载安装时，会创建一个名为“FFDroider”的Windows注册表项，这也是该恶意软件名称的由来。
△FFDroider 在受感染的系统上添加注册表项 (Zscaler)
FFDroid主要针对存储在Google Chrome（和基于Chrome 的浏览器）、MozillaFirefox、Internet Explorer和Microsoft Edge中的cookie和帐户凭证。例如，该恶意软件通过滥用Windows Crypt API，特别是CryptUnProtectData函数，读取和解析Chromium SQLite cookie和SQLite Credential存储并解密条目。
其他浏览器的程序也类似，像滥用InternetGetCookieRxW和IEGetProtectedMode cookie等功能，窃取存储Explorer和Edge中的所有cookie。窃取和解密会产生明文用户名和密码，然后通过HTTP POST请求将其泄露到C2服务器。
△FFDroid从 IE窃取 Facebook cookie (Zscaler)
与许多其他窃取密码的木马不同，FFDroid 只专注于存储在网络浏览器中的社交媒体账户和电子商务网站凭证，窃取可用于在这些平台上进行身份验证的有效 cookie，其目标包括 Facebook、Instagram、亚马逊、eBay、Etsy、Twitter 和 WAX Cloud 钱包。
例如，如果攻击者在 Facebook 上的身份验证成功，FFDroider 会从 Facebook 广告管理器获取所有 Facebook 页面和书签、受害者朋友数量以及他们的帐户账单和付款信息，并使用这些信息在社交媒体平台上开展欺诈性广告活动，将恶意软件传播给更多的受众；而如果成功登录 Instagram，FFDroider 将打开账户编辑页面，获取账户的电子邮件地址、手机号码、用户名、密码等详细信息。
△FFDroid分别从Facebook和Ins窃取 cookie(Zscaler)
由此可见，FFDroid的套路不仅在于试图获取凭证，还试图登录相应平台并窃取更多信息。在将这些信息发送到C2后，FFDroid还会以固定的时间间隔从其服务器上下载并部署其它模块。Zscaler 的分析师没有提供有关这些模块的详细信息，但这无疑会使威胁更加强大。
参考来源
https://www.bleepingcomputer.com/news/security/new-ffdroider-malware-steals-facebook-instagram-twitter-accounts/
