trojan blue

Updated – Τώρα: Κυκλοφορεί Trojan μέσω μηνυμάτων του Facebook

Ένα μήνυμα από έναν φίλο μας, μας ενημέρωσε για μια νέα απειλή () κυκλοφορεί στο Facebook. Χρησιμοποιώντας την υπηρεσία προσωπικών μηνυμάτων του κοινωνικού δικτύου, οι απατεώνες προσπαθούν να πλασάρουν trοjans στους ανυποψίαστους .

Ο φίλος μας από το safer-internet.gr, μας έστειλε δύο διαφορετικές εικόνες από μηνύματα του Facebook. Τα μηνύματα αναφέρουν κάτι σαν “δες το και μην το πεις σε κανέναν” και περιέχουν δύο αρχεία .rar με διαφορετικό όνομα:

foto2Ζητήσαμε τα αρχεία για να τα αναλύσουμε και φυσικά δεν περιείχε κάτι να δούμε. Αν και τα δύο rar είχαν διαφορετικό όνομα το εκτελέσιμο αρχείο που περιείχαν ήταν ακριβώς το ίδιο (ίδιο CRC Checksum.)

trojan

και το όνομα αυτού: Watch This!!!.vbs

Τα εκτελέσιμα αρχεία ήταν μορφής .vbs. Η είναι μια γλώσσα scripting (σεναρίου όπως το μεταφράζουν) και έρχεται μαζί με τα Windows. Με αυτή μπορείς να κάνεις διάφορα χρήσιμα πράγματα, όπως έχετε διαπιστώσει και από την κατηγορία Tweaks του ., αλλά μπορείς να γράψεις και trοjans.

  Kaspersky VirusDesk δωρεάν online σαρώσεις

To script που περιείχαν τα 2 rar είχαν το TrοjanDownloader.Agent.NJV trοjan που έχει ευρετηριαστεί από την ESET στις 11 Φεβρουαρίου του 2012.

Τι κάνει ένα Trοjan Downloader;

Ένα Trοjan downloader με το που τρέξει στον υπολογιστή του θύματος, αναζητά πρόσβαση σε έναν απομακρυσμένο υπολογιστή για να κατεβάσει αρχεία που στη συνέχεια εγκαθιστά στον υπολογιστή που έχει μολυνθεί.

Το συγκεκριμένο Trοjan, TrοjanDownloader.Agent.NJV trojan,είναι παλιό και έτσι είναι άμεσα αναγνωρίσιμο από τα antivirus, αν φυσικά τα έχετε ενημερώσει.

Περιττό να σας πούμε ότι δεν ανοίγετε αρχεία zip, rar που δεν τα περιμένετε και σας έρχονται σε μηνύματα, ακόμα και αν γνωρίζετε αυτόν που σας το έστειλε.

Αν έχετε τρέχει ήδη το αρχείο και δεν το έχει “χτυπήσει” to antivirus που χρησιμοποιείτε αλλάξτε ή ενημερώστε την εφαρμογή σας.

Update:

Ενώ τα κακόβουλα μηνύματα συνεχίζονται να έρχονται στο Facebook. αποφασίσαμε να ανοίξουμε το script για μια περαιτέρω ανάλυση.

Όλα τα κακόβουλα links φαίνεται να οδηγούν στον ίδιο ο οποίος προφανώς έχει παραβιαστεί.

  FreeCAD 0.19.4 open source 3D δωρεάν CAD για όλους

Δείτε 3 από τα domains

hack

hack 2

hack 1

Η ομάδα του iGuRu.gr ενημέρωσε τον ιδιοκτήτη του server για να πάρει τα απαραίτητα μέτρα.

Όλες οι κακόβουλες διευθύνσεις συμπεριλαμβάνονται στην παρακάτω φωτογραφία όπως αναγράφονται στο script

hack scriptΠιστεύουμε ότι ο κακόβουλος χρήστης είναι Έλληνας καθώς υπάρχουν κακόβουλα αρχεία με Ελληνικά ονόματα, όπως πχ το . /vasika/kalisperasas.zip. Επίσης ο φάκελος που κάνει για να κατεβάσει τα κακόβουλα αρχεία ονομάζεται από τον κακόβουλο χρήστη “\MyFolderakis.”

Μετά την εγκατάσταση φτιάχνει το παραπάνω φάκελο στον υπολογιστή του θύματος, κατεβάζει το content.zip που περιέχει ένα . jar αρχείο.

download(csPATH)
Unzip csPATH &”\content.zip“, csPATH
Loop While ReportFileStatus(csPATH &”\sapsalo.jar

Εφόσον κατεβάσει το content.zip και τρέξει το jar (ενώ το vbs script τρέχει μόνο σε Windows, το jar τρέχει σε Windows. Mac και Linux) αρχίζει να κατεβάζει όλα τα άλλα κακόβουλα αρχεία, από τα links που δώσαμε παραπάνω.

Προσοχή, καθώς δεν κατεβάσαμε τα παραπάνω αρχεία και δεν γνωρίζουμε τι περιέχουν.

Ακολουθήσετε μας στο Google News iGuRu.gr at Google news

Written by giorgos

Ο Γιώργος ακόμα αναρωτιέται τι κάνει εδώ....

19 Comments

Leave a Reply

Αφήστε μια απάντηση

Η ηλ. διεύθυνση σας δεν δημοσιεύεται.

Το μήνυμα σας δεν θα δημοσιευτεί εάν:
1. Περιέχει υβριστικά, συκοφαντικά, ρατσιστικά, προσβλητικά ή ανάρμοστα σχόλια.
2. Προκαλεί βλάβη σε ανηλίκους.
3. Παρενοχλεί την ιδιωτική ζωή και τα ατομικά και κοινωνικά δικαιώματα άλλων χρηστών.
4. Διαφημίζει προϊόντα ή υπηρεσίες ή διαδικτυακούς τόπους .
5. Περιέχει προσωπικές πληροφορίες (διεύθυνση, τηλέφωνο κλπ).


  +  66  =  67