Já vimos repetidas vezes a utilização de um truque de engenharia social em que spammers utilizam a morte de uma celebridade ou figura política conhecida para atrair suas vítimas. Exemplos recentes incluem a morte de Steve Jobs e Amy Winehouse. Desta vez, estão utilizando a morte de Kadafi com um golpe mais atraente para convencer usuários a baixarem arquivos maliciosos.

Encontramos várias mensagens de spam que alegam trazer links para vídeos da morte de Kadafi. É importante ressaltar que os vídeos da morte do Kadafi realmente existem, e sites confiáveis como o da Reuters e do The Washington Post descrevem graficamente o conteúdo do vídeo, e até hospedam os vídeos em seus sites. O fato de que os vídeos realmente existem aumenta o poder de atração do spam.

O primeiro exemplo se passa por uma newsletter da CNN em espanhol que solicita que o usuário baixe a gravação da morte de Kadafi através do link fornecido. Contudo, o suposto vídeo ao qual o usuário é direcionado, Video-Gadhafi.mpeg.exe, é na verdade um malware detectado como BKDR_IRCBOT.DAM.

BKDR_IRCBOT.DAM se conecta a determinado servidor IRC e espera comunicação de um usuário remoto. Até agora, o único comando que observamos nesta conexão é o download e execução de um arquivo de certo endereço IP. O arquivo mencionado é outra cópia do BKDR_IRCBOT.DAM. Acreditamos que esta rotina é a forma que o malware utiliza para se atualizar.

Outra mensagem de spam que encontramos chega em formato de texto simples com um anexo .RAR. A mensagem alega que o anexo contem apenas "fotos do corpo do finado Muamar Kadafi", mas o usuário incauto não perceberá que está extraindo um malware.

O arquivo Gadhafi.exe foi verificado como malicioso, e detectado como BKDR_EXDEPH.A. Ao ser executado, este backdoor abre um arquivo JPG para que usuários pensem que o arquivo executado é confiável, e para esconder sua execução em segundo plano. Assim como o BKDR_IRCBOT.DAM, o BKDR_EXDEPH.A se conecta a determinada URL para receber comandos de um usuário remoto. A URL mencionada, contudo, estava inacessível até a publicação deste post.

O terceiro exemplo que recebemos veio em português. O spam tem uma imagem do vídeo de Kadafi coberto de sangue, assim como um link supostamente levando ao vídeo propriamente dito. Contudo, esse link esta atualmente indisponível.

Os arquivos maliciosos, URLs e mensagens de spam já foram detectados e bloqueados pelo Trend Micro Smart Protection Network. Ainda assim, aconselhamos que usuários evitem clicar em links de emails de remetentes suspeitos ou desconhecidos.