JS/Chromex.FBook - nowe zagrożenie na Facebooku

12 sierpnia 2013, 15:28

ESET ostrzega przed złośliwym koniem trojańskim JS/Chromex.FBook. Atakuje on użytkowników Facebooka.

JS/Chromex.FBook instaluje się na komputerze użytkownika jako wtyczka do Google Chrome lub Mozilla Firefox i od tego momentu nasłuchuje i czeka, aż użytkownik odwiedzi swój profil w serwisie społecznościowym Facebook. Wtedy też zagrożenie przystępuje do działania i publikuje na osi czasu swojej ofiary oraz na tablicach jego znajomych swoje wpisy. Kamil Sadkowski, analityk zagrożeń firmy ESET, podkreśla, że każdy z tych wpisów wygląda tak, jakby został opublikowany przez samego użytkownika. W treści wpisów zagrożenie umieszcza odnośnik do zewnętrznej witryny. Jeśli któryś ze znajomych ofiary nieopatrznie kliknie w taki link może nieświadomie dołączyć do grona zainfekowanych JS/Chromex/FBook - wystarczy tylko, że wyrazi zgodę na instalację niewinnie wyglądającego dodatku do przeglądarki Google Chrome lub Mozilla Firefox.

Jak nie paść ofiarą tego zagrożenia? Według Kamila Sadkowskiego z firmy antywirusowej ESET ryzyko infekcji maleje, jeśli użytkownik posiada program antywirusowy lub stosuje odpowiednią aplikację ochronną do zabezpieczania swojego konta na Facebooku np. ESET Social Media Scanner. Jeśli jednak użytkownik nie używa żadnego z tych rozwiązań, a zagrożenie przeniknie do komputera, najłatwiej pozbyć się go ... usuwając z przeglądarki niechcianą wtyczkę.

Krzysztof Mocek / Informacja prasowa
krzysztof.mocek@firma.interia.pl

Tagi: internet

Ocena:

Oceń:

Komentarze (3)

Redakcja nie ponosi odpowiedzialności za treść komentarzy. Komentarze wyświetlane są od najnowszych.

geekboy68k

14 sierpnia 2013, 22:12

Zagrożenie krąży po sieci od marca, więc nic nowego, ani też szczególnego... W przeszłości pojawiało się już tego typu oprogramowanie. Najskuteczniejszą metodą obrony jest nie klikać w co popadnie i nie instalować co drugiej aplikacji ze Store bądź ograniczyć w Chrome uruchamianie wtyczek (ustawienia treści z zaawansowanego menu) - widać, że gość piszący newsa uległ reklamowej paplaninie. Co do samego JS/Chrome.FBook, wtyczka występuje w dwóch wariantach - podstawowym oraz z dopiskiem .A. Niestety, nie ustaliłem czym się różnią (prawdopodobnie tylko odpornością na oprogramowanie antywirusowe). Wtyczka wyświetla się w menu Dodatki przeglądarki. Wystarczy ją usunąć (jak każdą inną wtyczkę) i doprowadzić system do porządku. Złośliwe oprogramowanie tworzy następujące pliki: [code]%localappdata%\Google\Chrome\User Data\Default\User StyleSheets\Custom.css (63 B) %localappdata%\Google\Chrome\User Data\Default\Extensions\%losowe%\3.38_0\background.js (2149 B) %localappdata%\Google\Chrome\User Data\Default\Extensions\%losowe%\3.38_0\icon128.jpg (7902 B) %localappdata%\Google\Chrome\User Data\Default\Extensions\%losowe%\3.38_0\manifest.json (1201 B) %localappdata%\Google\Chrome\User Data\Default\Extensions\%losowe%\3.38_0\new_tab.html (99 B) %localappdata%\Google\Chrome\User Data\Default\Extensions\%losowe%\3.38_0\new_tab.js (68 B) %localappdata%\Google\Chrome\User Data\Default\Extensions\%losowe%\3.38_0\script.js (224 B)[/code] Oraz modyfikuje wartości przy wpisach w rejestrze: [code][HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome\ExtensionInstallForcelist] "1" = "oohihabmclafciafgmimanggjobnmceg;https:///vupdate.xml"[/code] [code][HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome] "HomepageIsNewTabPage" = 1 "DeveloperToolsDisabled" = 1[/code] Pozbywamy się jednego i drugiego, w trzecim wartości powinny wskazywać zero (jak liczydło na CPN-ie :E) - i po sprawie. Jak widać, Zeus to to nie jest. Przy okazji - pierwsze słyszę, aby użytkownicy Mozilli również byli zagrożeni.

Alland N.

14 sierpnia 2013, 18:15

Zontus napisał(a): a może by ktoś tak napisał jak nazywa sie ta niby wtyczka "JS/Chromex.FBook instaluje się na komputerze użytkownika jako wtyczka do Google Chrome lub Mozilla Firefox" - jeśli to nie nazwa wtyczki, to redakcja widocznie liczy na to, że czytelnicy sami odgadną nazwę ;)