Rosyjska firma antywirusowa Doctor Web ostrzega przed złośliwym oprogramowaniem, które jest rozprzestrzeniane za pośrednictwem portalu społecznościowego Facebook.
W celu zainfekowania trojanami systemu operacyjnego użytkownika, przestępcy tworzą specjalne fan page-e. Pojawiające się w nich linki, zamiast odsyłać do materiałów filmowych, uruchamiają szkodliwe skrypty. Obecnie na Facebooku działa już kilkaset różnych fan page-y o nazwach Videos Mega lub Mega Videos. Kiedy osoba odwiedzająca jedną z takich stron klika na złośliwy link ukryty pod obrazkiem Adobe Flash Player, uruchamia się skrypt, który w sposób nie budzący podejrzeń zachęca użytkownika do zaktualizowania tej wtyczki.
Jeżeli użytkownik zgodzi się na zainstalowanie aktualizacji, w tym samym momencie na jego komputer zostaną pobrane samorozpakowujące się pliki zawierające Trojan.DownLoader8.5385. Podobnie jak inne składniki pobrane przez złośliwe oprogramowanie, trojan zawiera wiarygodny podpis cyfrowy wydany w imieniu firmy Updates LTD, w związku z czym instalacja może nie uaktywnić alarmów bezpieczeństwa na komputerach niezabezpieczonych odpowiednim programem antywirusowym.
Trojan.DownLoader8.5385 jest typowym złośliwym programem pobierającym, którego zadaniem jest pobranie i uruchomienie innych szkodliwych plików na zainfekowanym komputerze. Program ten pobiera wtyczki dla przeglądarek internetowych Google Chrome i Mozilla Firefox. Wtyczki te zostały zaprojektowane do wysyłania zaproszeń do różnych grup na Facebooku i „polubienia” postów na portalu społecznościowym. Dodatkowo, złośliwe rozszerzenia mogą przyczynić się do:
– zbierania informacji na temat użytkowników Facebooka znajdujących się na “liście znajomych” posiadacza zainfekowanego systemu
– “polubienia” stron społecznościowych lub materiałów zewnętrznych
– dzielenia się albumem ze zdjęciami na danej stronie
– dołączenia do grup
– wysyłania zaproszeń “dołącz do grupy” do użytkowników z “listy znajomych”
– zamieszczania linków na wall’u użytkownika
– zmiany statusu użytkownika – otwierania okienek czatu
– dołączenia do aktywności na Facebooku
– zapraszania użytkowników do aktywności
– postowania komentarzy
– odbierania i wysyłania sugestii Plik konfiguracyjny wtyczki jest pobierany z serwera należącego do przestępców. Szkodliwe rozszerzenia są wykrywane przez oprogramowanie Dr. Web jako Trojan.Facebook.310.
Trojan instaluje również na zainfekowanym systemie wirusa BackDoor.IRC.Bot.2344. Ten z kolei może włączyć zainfekowane komputery do botnetu i wykonać różne komendy wysyłane przez specjalny kanał IRC stworzony przez przestępców. Dyrektywy, które mogą być wykonywane przez BackDoor.IRC.Bot.2344 obejmują:
– wykonanie komend CMD
– pobranie pliku z określonej lokalizacji w Internecie i umieszczenie go w wyznaczonym folderze lokalnym
– sprawdzenie, czy proces wyznaczony w dyrektywie jest uruchomiony
– wysłanie listy uruchomionych procesów zebranych za pomocą narzędzia tasklist.exe do zdalnego serwera
– wyłączenie wyznaczonego procesu
– uruchamianie dowolnej aplikacji
– pobranie i zainstalowanie wtyczek do Google Chrome za pomocą określonego URL
0 komentarzy