Компания G Data Software обнаружила новую атаку вредоносного ПО в социальной сети Facebook.
Многие пользователи получили сообщение через функцию Facebook чат следующего содержания: “Это твой бывший молодой человек/девушка?”, “Боже мой, посмотри какой милый”. Сокращенный линк мог быть разным, но результат остается прежним: после перехода по ссылке на компьютере начинается загрузка файла, который маскируется под .jpg формат. В случае загрузки у пользователя не отображается расширение, а появляется иконка обычной картинки в формате jpg. С активизированной функцией отображения расширения файл имеет расширение .exe. Такой файл с несоответствием иконки и расширения заставляется задуматься о его происхождении, но, к сожалению, далеко не все пользователи замечают это несовпадение. Что сделает среднестатистический пользователь в такой ситуации?
Очевидно, что после загрузки “картинки” пользователь хочет увидеть забавный или шокирующий снимок, обещанный в чате. И тут наступает момент заражения: при нажатии на картинку начинается загрузка вредоносных программ на компьютер пользователя, который, поплатившись за свое любопытство, становится жертвой. Самое опасное, что файл начинает распространяться по всем друзьям пользователя в Facebook. Так стартует полный цикл заражения.
Загруженный файл уже со зловредами сохраняется и исполняется в папке TEMP ОС Windows%%. Но пользователь пока не замечает вредоносной деятельности. С целью обмануть второй раз, вирус даже отображает поддельное уведомление, объясняющее, почему юзер не может открыть картинку.
“Пока жертва думает, что файл поврежден и, скорее всего, отправляет его прямиком в корзину, на ее компьютер в фоновом режиме устанавливается вредоносная программа, — рассказывает Ральф Бенцмюллер, руководитель лаборатории безопасности G Data Labs. — К сожалению, мы не смогли определить ее происхождение, так как область хостинга была уже подчищена хакерами. Также для своих уловок они использовали абсолютно легальный хостинг для временного размещения файлов. Но мы смогли определить файл-загрузчик: троянская программа Trojan.Generic.KD.315917”.
Специалисты G Data Software отмечают, что загружаемые зловреды могут быть любого вида и происхождения: от банковских троянов до клавиатурных шпионов, бэкдоров и прочих. Даже несмотря на то, что в способе заражения компьютера через троян-загрузчик нет ничего нового, из-за широкого охвата социальной сети такая атака может быть вполне существенной.
Как пользователи могут защитить себя:
• Не переходить по ссылкам от неизвестных пользователей. Даже если вы получаете сообщение от друга, содержащее подозрительный контент, лучше лишний раз удостовериться, отправлял ли он это сообщение. • Проверять сокращенные ссылки, чтобы узнать исходный ресурс. Если это ссылка, укороченная с помощью сервера bit.ly, то необходимо добавить + в конце ссылки, скопировать в строку браузера (например bit.ly/shortcode можно заранее расшифровать как bit.ly/shortcode+). Также можно использовать LongURL, который автоматически восстанавливает ссылки из любых сервисов.
• Подключить функцию отображения расширения файлов на операционной системе, например, всю необходимую информацию для Windows можно найти по следующим ссылкам:
• How to enable file name extensions in Windows XP
• How to enable file name extensions in Windows Vista
• How to enable file name extensions in Windows 7
• Своевременно устанавливать все обновления на компьютере и использовать комплексное решение для безопасности. Это защитит от вредоносных программ, которые распространяются при попутной загрузке (drive-by-downloads) и в виде спама.