Oprezno sa linkovima u porukama: Backdoor vodi do poznatog Facebook i IM crva Dorkbot

Vesti, 08.05.2013, 08:59 AM

Stručnjaci kompanije Trend Micro upozorili su na nove napade na korisnike Facebook-a i nekoliko IM aplikacija, kao što su Digsby i Quiet Internet Pager. Glavni payload je backdoor - BKDR_LIFTOH.DLF, koji obezbeđuje napadačima potpunu kontrolu nad zaraženim sistemima. Za svoje širenje backdoor koristi dva crva, od kojih je jedan iz ozloglašene familije DORKBOT.

DORKBOT je poznat po tome što se širi preko društvenih mreža i IM aplikacija, kao što su Skype i mIRC, a sada za širenje koristi i već spomenute multi-protokolarne aplikacije koje omogućavaju korisnicima komunikaciju preko različitih IM aplikacija. Tako Digsby, na primer, podržava AIM, MSN, Yahoo, ICQ, Google Talk, Jabber i Facebook Chat, dok Quiet Internet Pager podržava najmanje četiri različita IM servisa. Zbog toga, malver može da dođe do većeg broja korisnika.

Malver WORM_DORKBOT.SME šalje skraćene URL-ove kontaktima koje pronađe u IM aplikaciji na zaraženom sistemu. Ovi URL-ovi vode do fajla koji je ažurirana kopija DORKBOT-a koji je postavljen na fajl-hosting sajt Mediafire. Na ovaj način, napadači nastoje da izbegnu otkivanje i uklanjanje malvera sa računara.

Backdoor BKDR_LIFTOH.DLF preuzima WORM_DORKBOT.SME. Jedna od komandi koje backdoor dobija od C&C servera je da preuzme i pokrene druge malvere. Komanda takođe sadrži i URL odakle će backdoor biti preuzet. Ovoga puta, fajl se nalazi na Hotfile.

Pored WORM_DORKBOT.SME, backdoor takođe preuzima još jedan malver - WORM_KUVAA.A. Ovaj crv traži c-user i xs Facebook kolačiće (cookies) na zaraženom sistemu da bi izbegao proveru identiteta na Facebook-u. On proverava browser-e Safari, Opera, Internet Explorer, Firefox i Chrome i aplikaciju Facebook Messenger.

Malver koristi Anti-CSRF (Cross-site request forgery) token, fb_dtsg, da bi slao spam poruke prijateljima žrtve. Spam poruke, napisane na 11 jezika prilagođenim žrtvama, sadrže URL odakle njegova kopija može biti preuzeta zajedno sa sugestivnom fotografijom.

Zaključak koji se nameće je da morate uvek biti oprezni sa fajlovima i linkovima koje dobijate od kontakata sa IM aplikacija jer nikada sa sigurnošću ne možete znati da li su ih zaista poslali vaši prijatelji i kakva je njihova priroda.

Slika 1. Spam poruke na Facebook-u

Slika 2. Poruke na 11 jezika