“免费蓝标认证”：恶意 Facebook 广告借假冒 Meta Verified 扩展窃取账户 ...

近日，安全研究人员发现一场针对 Facebook 用户的精心策划的恶意广告活动。攻击者通过伪装成 “Meta Verified” 的浏览器扩展，诱导用户安装恶意插件，从而窃取账户信息和敏感数据。

这些广告以教学视频的形式出现，声称无需订阅即可免费获得蓝色认证标记。实际上，所谓的扩展程序在后台会秘密收集 会话 Cookie、访问令牌和 IP 地址 等数据，并将其传输至攻击者控制的 Telegram 机器人。

可信平台伪装与持续投递

为了提高可信度并绕过安全检测，攻击者利用 Box.com 等合法平台托管扩展文件，使恶意链接看起来安全无害。受害者点击广告后安装扩展，恶意脚本会立即调用 Chrome 的 cookies API 提取 facebook.com 域下的所有 Cookie，并执行 exportCookies 函数，将数据组装成格式化字符串传出。

扩展被设置为 随 Chrome 启动自动运行，即便用户尝试禁用后重新启用，仍会持续执行数据窃取任务。

针对高价值账户的精准窃取

研究人员指出，恶意扩展会调用 Facebook Graph API，在获取访问令牌后主动查询账户信息，以区分高价值的企业账号和普通个人账号。这种筛选机制使得攻击者能将有限资源集中在更具经济价值的目标上。

此外，扩展还会请求 ipinfo.io 接口获取用户地理位置，将信息附加到被窃数据中，进一步提高其在地下市场的交易价值。

攻击来源与技术特征

分析显示，视频教程配音和代码注释均为 越南语，说明幕后威胁行为者可能来自越南语环境。扩展的代码虽然混淆手法粗糙，但迹象表明其部分模块可能由 AI 工具自动生成。同时，攻击者可快速调整广告中勾选标记的大小和位置，显示出一套“流水线化”的投递体系。