OPREZ: Trojanac se širi preko Facebook poruka

Društvene mreže, 13.03.2014, 09:12 AM

Malwarebytes upozorava korisnike Facebook-a na Trojanca koji se širi preko poruka koje korisnici dobijaju od svojih prijatelja sa mreže.

Lanac infekcije počinje porukom koju korisnik dobija od prijatelja sa Facebook-a i u kojoj se nalazi samo jedna reč - “lol” i zip fajl za koji žrtva treba da pomisli da je slika koju treba preuzeti. Naziv fajla je uobičajen za slike: IMG_xxxx.zip.

S obzirom da poruku šalje prijatelj, manje oprezni korisnici će možda preuzeti zip fajl koji umesto slike sadrži JAR fajl istog naziva IMG_xxxx.jar.

Kada se JAR fajl pokrene, preuzima se malver sa Dropbox naloga.

Prva dva pomenuta fajla, zip i JAR fajlovi, nisu sami po sebi maliciozni, ali treći fajl je Trojanac koji se ubacuje u tekuće procese na sistemu žrtve.

Facebook nalog žrtve je sada kompromitovan i biće iskorišćen za dalje širenje malvera među Facebook prijateljima žrtve.

Ovoga puta, sajber kriminalci su odlučili da koriste mešavinu ranije viđenih i uspešnih taktika za širenje malvera.

Prva taktika podrazumeva korišćenje instant poruka - mnogo puta smo videli da su malveri koristili instant poruke u različitim oblicima za slanje malicioznih fajlova žrtvama preko Skype-a, MSN-a ili Yahoo-a, podseća Malwarebytes.

Druga taktika je korišćenje akronima “lol”, što se pokazalo kao dobar mamac za korisnike kada ih treba naterati da otvore fajl. Iz istog razloga u nekim ranijim napadima korišćeni su “omg, is this you” ili “I can't believe someone posted this” itd. Ideja je da se privuče pažnja korisnika, a izgleda da se nešto tako jednostavno kao što je “lol” pokazalo uspešnim u toj misiji.

Treća taktika koju u ovom slučaju koriste prevaranti je korišćenje zip formata kojim se prikriva šta ustvari korisnik preuzima. Korisnik preuzima zip fajl koji mora da pronađe na računaru da bi došao do malicioznog fajla.

Četvrta taktika je korišćenje JAR fajla. Obično se ova taktika koristi u drive-by download napadima, u kojima se koristi Java da bi se iskoristio sistem i pokrenuo malver. U ovom slučaju JAR fajl nije sam po sebi malver (iako je po nameni zlonameran), ali on je odgovoran za preuzimanje malvera sa Dropbox naloga napadača ili kompromitovanog Dropbox naloga.

Malver za sada detektuje tek nešto više od polovine antivirusa VirusTotal-a, ali na osnovu rezultata na VirusTotal-u ovo bi mogao biti poznati bankarski Trojanac Zusy.

Poreklo pretnje se trenutno istražuje, ali tekst pronađen unutar Java fajla ukazuje da bi autor mogao biti neko ko govori grčki.

Kako se zaštititi od ove pretnje? “Lako, nemojte preuzimati fajl”, preporuka je Malwarebytes.

Ako dobijete takvu poruku od prijatelja pre nego što požurite sa preuzimanjem fajla, pitajte ga o kakvom fajlu je reč. Ako vam da razumno objašnjenje, sve je u redu, a ako ni sam ne zna da je poslao poruku prosledite mu ovaj tekst i predložite da skenira računar antivirusom i promeni Facebook lozinku. I to baš tim redom, savetuju stručnjaci.