Cyberprzestępcy znowu wykorzystują Facebooka

Kaspersky Lab informuje o wykryciu robaka Zeroll, który przeprowadza masowe wysyÅ‚ki niebezpiecznych wiadomoÅ›ci za poÅ›rednictwem różnych komunikatorów internetowych. CyberprzestÄ™pcy użyli socjotechniki i wizerunku Facebooka, aby nakÅ‚onić użytkowników do klikania niebezpiecznych odsyÅ‚aczy i pobierania szkodliwych programów.

W ostatnich dniach specjaliÅ›ci z Kaspersky Lab wykryli nowe wiadomoÅ›ci spamowe ze szkodliwymi odsyÅ‚aczami, wysyÅ‚ane za poÅ›rednictwem różnych komunikatorów internetowych. OkazaÅ‚o siÄ™, że za wysyÅ‚kami stoi robak Zeroll, a wiadomoÅ›ci, różniÄ…ce siÄ™ jÄ™zykiem w zależnoÅ›ci od odbiorcy, byÅ‚y generowane przez bota. Oto kilka przykÅ‚adów:

• “Wie findest du das Foto?”
• “seen this?? :D %s”
• “This is the funniest photo ever!”
• “bekijk deze foto :D”
• “uita-te la aceasta fotografie :D”

Tak jak w przypadku wielu innych, podobnych incydentów, cyberprzestÄ™pcy wykorzystali socjotechnikÄ™, zachÄ™cajÄ…c użytkowników do obejrzenia zdjęć o kuszÄ…cych nazwach. Na koÅ„cu wiadomoÅ›ci znajduje siÄ™ odsyÅ‚acz, taki jak http://www.facebook.com/l.php?u=********.org/Jenny.jpg. Oprócz odsyÅ‚acza do pliku Jenny.jpg wiadomoÅ›ci zawieraÅ‚y również podobne odsyÅ‚acze do Sexy.jpg.

Strona, do której prowadzi odsyÅ‚acz http://www.facebook.com/l.php?u=, w rzeczywistoÅ›ci nie jest szkodliwa – zawiera ostrzeżenie z Facebooka informujÄ…ce użytkownika, że opuszcza stronÄ™.

Ostrzeżenie Facebooka

Jeżeli użytkownik kliknie przycisk „Continue”, odsyÅ‚acz zaprowadzi go na zainfekowanÄ… stronÄ™. CyberprzestÄ™pcy wykorzystali ten mechanizm, aby szkodliwy odsyÅ‚acz wyglÄ…daÅ‚ na caÅ‚kowicie bezpieczny. Użytkownik zostanie przekierowany na adres ********.org/Jenny.jpg, który z kolei prowadzi do zainfekowanego pliku PIC1274214241-JPG-www.facebook.com.exe. W efekcie szkodliwy program jest instalowany i uruchamiany na komputerze niczego niepodejrzewajÄ…cego użytkownika. W przypadku próby obejrzenia obrazka Sexy.jpg dzieje siÄ™ dokÅ‚adnie to samo.

Analiza szkodników, do których prowadzÄ… „obrazki” Jenny.jpg oraz Sexy.jpg wykazaÅ‚a, że sÄ… to typowe downloadery, czyli aplikacje pobierajÄ…ce na zainfekowany komputer inne niebezpieczne programy. W tym przypadku pobierany jest plik srce.exe.

Fragment szkodliwego kodu

Aby użytkownik niczego nie podejrzewaÅ‚, downloadery otwierajÄ… również zdjÄ™cie obiecywane w pierwotnej wiadomoÅ›ci spamowej. ZdjÄ™cie jest pobierane z Internetu.

Czym jest srce.exe? Jest to aplikacja pobierajÄ…ca robaka IM-Worm.Win32.XorBot.a, który wykorzystuje komunikator Yahoo Messenger w celu wysyÅ‚ania kolejnych zainfekowanych wiadomoÅ›ci użytkownikom.

PodsumowujÄ…c, odsyÅ‚acz do strony na Facebooku jest wykorzystywany w spamie wysyÅ‚anym za poÅ›rednictwem komunikatorów internetowych zamiast bezpoÅ›redniego odsyÅ‚acza do szkodliwego obiektu. Można powiedzieć, że Facebook jest wykorzystywany w ten sam sposób co usÅ‚uga typu bit.ly: pozwala modyfikować odsyÅ‚acze, tak aby byÅ‚y kierowane przez domenÄ™ Facebook.

„Robak Zeroll nadal aktywnie rozsyÅ‚a spam. WiadomoÅ›ci zawierajÄ… odsyÅ‚acze do różnych plików, jednak wszystkie majÄ… podobne, dość jednoznacznie kojarzÄ…ce siÄ™ nazwy, takie jak Girls.jpg czy Marisella.jpg” – powiedziaÅ‚ WiaczesÅ‚aw Zakorzewski, analityk zagrożeÅ„ z Kaspersky Lab. Chociaż wiÄ™kszość osób wie, że nie powinno siÄ™ klikać dziwnych odsyÅ‚aczy, nawet jeÅ›li zostaÅ‚y wysÅ‚ane przez kogoÅ› z ich listy kontaktów, warto przypomnieć o tym jeszcze raz. Niestety, cyberprzestÄ™pcom nie można odmówić kreatywnoÅ›ci, czego dowodem jest spam rozsyÅ‚any przez robaka Zeroll.”

WiÄ™cej informacji o najnowszych atakach oraz innych incydentach zwiÄ…zanych z cyberprzestÄ™pczoÅ›ciÄ… i codziennÄ… pracÄ… specjalistów ds. bezpieczeÅ„stwa można znaleźć w Dzienniku Analityków publikowanym w Encyklopedii Wirusów VirusList.pl prowadzonej przez Kaspersky Lab.