O Facebook ampliou o número de serviços oferecidos a seus
usuários, fazendo do site mais do que apenas um lugar de interação.
Alguns especialistas têm dito que o Facebook pode substituir o
e-mail como forma de comunicação, já que proporciona uma forma mais
conveniente para o envio de mensagens.
Esta mesma conveniência foi aproveitada por cibercriminosos em
uma campanha de spam vista recentemente. Nela, é oferecido aos
usuários o download de um aplicativo chamado "Facebook Messenger",
o qual possibilitaria acessar mais facilmente mensagens enviadas
para seus perfis no Facebook. Os ataques começam com uma
mensagem-spam parecida com uma notificação do Facebook. A mensagem
por e-mail alerta o usuário que uma mensagem foi enviada à sua
conta no Facebook e o orienta a clicar num link para ver a
mensagem. Porém, quando alguém clica na mensagem, verá uma página
de download de um aplicativo chamado Facebook Messenger.
O arquivo baixado, FacebookMessengerSetup.exe, é
malicioso e identificado como BKDR_QUEJOB.EVL.
BKDR_QUEJOB.EVL abre a porta TCP 1098 para receber comandos
enviados pelo atacante malicioso. A natureza dos comandos pode
incluir a atualização do arquivo malicioso, o download e a execução
de outros arquivos maliciosos e a inicialização de determinados
processos. Além disso, ela também verifica o sistema em busca de
informações, tais como produtos antivírus instalados e a versão do
sistema operacional e, em seguida, envia os dados coletados para um
SMTP.
Mais Ataques Direcionados a Usuários do Facebook
Parece que os cibercriminosos estão de olho nos usuários do
Facebook, já que este não foi o único ataque direcionado a esta
popular rede social nos últimos dias.
Em outro ataque, por spam, usuários eram avisados que sua
senha do Facebook não era segura e orientados a abrir
um documento anexado que trazia novas senhas e informações sobre
como proteger sua conta. Ironicamente, o documento em questão
era, na verdade, um malware detectado como TROJ_DOFOIL.VI.
Também vimos ataques semelhantes a um reportado anteriormente
que explorava o recurso de Eventos do Facebook. Desta vez, porém, a
isca de engenharia social utilizada era outro recurso popular do
Facebook: os Créditos.
O ataque conta aos usuários que uma falha no sistema do Facebook
possibilita acrescentar créditos à sua conta, simplesmente seguindo
algumas instruções. Esta técnica é parecida com a utilizada no
ataque conhecido como "Facebook Stalker Tracker" (Rastreador de
Visitantes do Perfil), na qual os usuários são orientados a copiar
um código e colá-lo no navegador web. Ao executar este script, o
resultado é a criação de um evento e o envio dos convites para
todos os contatos do usuário infectado. Este evento contém
informações-spam com links para Canadian Pharmacy.
O script utilizado para criar o evento-spam é identificado como
JS_OBFUS.PB.
Os usuários da Trend Micro já estão protegidos desta ameaça
graças à Smart Protection Network. Usuários do Facebook devem estar
alertas de que este tipo de golpe está em evidência da rede.
Recomenda-se muita cautela antes de clicar em links. Interessados
podem conferir nosso relatório completo Spam, Golpes e
Outras Ameaças de Mídia Social.
Texto e análises adicionais por Dhan
Praga e Harry Reynos