Kaspersky Lab: phishing su Facebook fa 10.000 vittime in due giorni

“Sei stato menzionato in un commento”. Con questa frase una nuova infezione sul social network ha gettato la sua esca. Gira da tempo, ma è stato registrato un boom negli ultimi giorni. La modalità di propagazione era quella ormai abituale. Un esperto di sicurezza di Kaspersky Lab ha scoperto un attacco malware che ha ingannato circa 10.000 utenti Facebook in tutto il mondo, infettando i loro dispositivi tramite un falso messaggio da parte di un amico di Facebook che afferma di averli menzionati in un commento. I dispositivi compromessi venivano usati per effettuare l’hijack degli account del social network per diffondere l’infezione tra gli amici della vittima stessa e permettere altre attività nocive.

Nuova ondata di virus con video porno distribuiti da tag su Facebook

I criminali informatici, dietro una campagna malware rozza ma efficace, continuano a ingannare gli utenti di Facebook spingendoli a visitare pagine Web sostenendo che gli iscritti sono stati taggati in una foto. Agente Lisa, uno dei profili Facebook della Polizia di Stato, ha lanciato l'allarme già da tempo. «Un nuovo ‪#‎virus‬ si diffonde tramite i profili ‪‎Facebook‬. Vi ritrovate taggati in un video o in una foto da un vostro amico (si tratta quasi sempre di pornografia) solo che il vostro amico non ne sa nulla e se, incuriositi, cliccate sul link, il vostro pc sarà infettato da un virus. Si tratta di un programma malevolo che si insinua nel computer e tra i vari effetti può carpire anche i dati sensibili».

Sophos, malware diffuso attraverso false notifiche Facebook di tag a foto

Gli utenti di Facebook sono nuovamente nel centro del mirino degli spammer. Martedì scorso lunedì alcuni utenti hanno denunciato di essere stati oggetto dell'invio di messaggi diretti presumibilmente provenienti dal social network. In realtà non è proprio così. L'ultima minaccia, in questo senso, combina il classico spam con l’invito a visionare un tag in una foto. Diffidate, infatti, delle e-mail che affermano di provenire da Facebook, e dicono che siete stati taggati in una foto. Perché potreste essere voi la prossima vittima potenziale di un attacco malware. I SophosLabs hanno intercettato una campagna email di spamming-out, progettata per infettare i computer dei destinatari con del malware.

Falso avviso Facebook informa cancellazione account e scarica malware

Una nuova pericolosa truffa si sta diffondendo su Facebook. Avete ricevuto una e-mail che chiede di confermare la richiesta di cancellazione del vostro account? State in guardia. Gli esperti di Sophos sono stati contattati da un loro lettore dopo aver ricevuto una mail proveniente apparentemente da Facebook e che ha suscitato i suoi sospetti. Nella lettera si legge:

"Hi [email address] We are sending you this email to inform you that we have received an account cancellation request from you. Please follow the link below to confirm or cancel this request

Thanks,
The Facebook Team

To confirm or cancel this request, follow the link below:
click here"

"Ciao [indirizzo email]

Ti invio questa email per informarti che abbiamo ricevuto una richiesta di cancellazione dell'account da te. Segui il link qui sotto per confermare o annullare questa richiesta

Grazie,
Il team di Facebook

Per confermare o annullare questa richiesta, seguire il link qui sotto:
clicca qui"

Il lettore di Naked Security ha fatto bene a essere sospettoso. Il link infatti non punta a una pagina ufficiale di Facebook, ma ad un'applicazione di terze parti in esecuzione sulla piattaforma del social network. Naturalmente, questo significa che il link accede a un indirizzo facebook.com, ciò potrebbe ingannare coloro che sono poco cauti.

La prima cosa che si può incontrare se si clicca sul link è un messaggio che chiede se si desidera consentire l'esecuzione sul computer di un'applet Java sconosciuta. E sembra che la richiesta sia piuttosto insistente. Infatti, se si preme il pulsante "No grazie" si verrà continuamente "tormentati " per dar il consenso all'esecuione dell'applet Java.

"Viene utilizzato del social engineering abbastanza astuto dai truffatori che stanno dietro questo attacco malware. Sanno che la gente tiene molto ai propri account Facebook, e molti sarebbero sconvolti dal perdere l'accesso e le connessioni digitali che hanno costruito con gli amici e la famiglia", scrive Joanne Garvey, ricercatore di sicurezza di Sophos Labs.

La speranza dei criminali informatici è che le vittime accettino ciecamente ciò che il computer dice loro di fare, in modo da "risolvere" la richiesta di cancellazione dell'account. Se si da il consenso all'esecuzione dell'applet Java, verrà visualizzato un messaggio che informa che Adobe Flash deve essere aggiornato. Naturalmente, il codice che viene scaricato non è affatto un aggiornamento di Flash originale.

Invece, il programma aggiunge dei file nella cartella /WIN32, che hanno l'intenzione di permettere agli hacker remoti di spiare le vostre attività e prendere il controllo del vostro computer. I prodotti di sicurezza Sophos prodotti rilevano i malware e bloccano l'accesso al sito che ospita il codice pericoloso. Si tratta dei malware Mal/SpyEye-B e Troj/Agent-WHZ, che aprono una backdoor nel computer della vittima.

False anteprime video YouTube su Facebook scaricano pericoloso virus

Sono in corso nuove truffe su Facebook attraverso post che sembrerebbero anteprime di video YouTube. Come in truffe già viste nei mesi scorsi, quando si clicca non si aprirà il video ma si viene rimandati a siti esterni che nulla hanno a che vedere col famoso sito di condivisone video. In particolare, il falso video che sta girando in queste ore sulle bacheche degli utenti e da noi analizzato mostrerebbe Angelina Jolie mentre fa sesso in un hotel. I post recitano testualmente: "[Video]Angelina Jolie getting ****** in hotel!! [LINK] ‎[Video] Looking for Celebrities we stumble on tapes, top pics, nipple slips, upskirts, cameltoes, paparazzi oops, see-throughs. All celebrity tapes". La tecnica utilizzata è quella del pluginjacking, per diffondersi in maniera virale tra gli utenti di Facebook e avere il controllo del browser di navigazione.

Se clicchiamo sul link veniamo rimandati ad un sito che riproduce la grafica di YouTube. Qui veniamo informati che bisogna aggiornare il Flash Player per poter visualizzare il presunto video.

Se clicchiamo su "Install Plugin" viene scaricato il plug-in malware denominato go.js che effettuerà azioni a nome e per conto nostro su Facebook (taggando gli amici) ed avrà il controllo della nostra navigazione internet.

In particolare viene scaricato il trojan downloader in C:\Users\Utente\AppData\Local\ individuato da Zone Alarm come Trojan.JS.Agent.bxp, un minaccia virus definita come "grave" che aprirà una backdoor nel sistema compromesso.

Ovviamente non visualizzeremo alcun video "imperdibile" di Angelina Jolie ma ci saremo beccati un bel virus. Il consiglio è sempre quello di verificare l'URL del sito internet e che corrisponda in questo caso a www.youtube.com. Non scaricate aggiornamenti da siti non ufficiali, come ad esempio nel caso di Flash player direttamente dal sito ufficiale di Adobe http://get.adobe.com/it/flashplayer/. Coloro che sono caduti nella trappola devono rimuovere il plug-in dal loro browser seguendo le istruzioni riportate qui e cambiare in via precauzionale la pswword per accedere a Facebook. Effettuate una scansione antivirus del vostro sistema e tenete aggiornati i vostri strumenti di sicurezza. Rimuovete ovviamente il post dalla vostra bacheca, passando il mouse in alto a destra e cliccando sulla X o l'ingranaggio. Avvisate i vostri amici che potrebbero essere caduti a lorom volta nella trappola.

Da Facebook ancora un falso sito di YouTube scarica trojan su Pc

Molti utenti stanno segnalando nuovamente in queste ore il diffondersi sulle proprie bacheche di un post alquanto curioso. Il testo del messaggio che si potrebbe ricevere informa l'utente di un presunto tag a video e recita precisamente: "www,facebook,com/​202161889881192 <--- ma sei te in sto video ??? (metti dei punti al posto delle virgole ♥)". Come visto in un caso precedente, il messaggio apparentemente sembra inviato da un amico, e anche in questo caso vi è un tipo di approccio nuovo alla truffa. Infatti, per renderla più credibile e soprattutto bypassare il sistema antispam del social network, nel messaggio si invita a sostituire le virgole con i punti. In questo modo non viene riconosciuto da Facebook come indirizzo Web ma semplicemente come un messaggio di testo.

Se effettuiamo l'operazione indicata nel post veniamo rimandati ad una delle pagine delle applicazioni truffa su Facebook

Cliccando su uno dei link presenti sulle pagine veniamo rimandati ad un sito esterno al social network e che ripropone la grafica di YouTube, dove ci viene chiesto di aggiornare Adobe Flash Player per poter visualizzare il presunto video

L'hosting sul quale risiedeva il vecchio dominio è ancora attivo ma ne è stato creato uno nuovo, come possiamo vedere dallo screen sottostante

Verrà dunque eseguito il download di un trojan downloader delle dimensioni di circa 339 Kb, che ovviamente è un falso aggiornamento del lettore Adobe Flash

Se avviamo il Trojan.AutoIT.Gen verrà modificata la chiave di registro:

HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|upme

Dati: C:\log\upme.exe

Autoit.gen è un Trojan che, anche se apparentemente innocuo, può effettivamente compiere attacchi e intrusioni del tipo screenlogging, rubare dati personali, ecc.

Verrà dunque avviato lo script malevolo che lavorerà in background. In tal modo accederà alla lista amici del profilo Facebook caduto nella truffa ed agirà a nome e per conto dell'utente loggato. Lo script invierà il messaggio post sulle bacheche di tutti gli amici. Il consiglio è di prestare sempre attenzione ai messaggi che ricevete in chat ed in bacheca. L'ultimo aggiornamento di Flash Player è stato rilasciato tre settimane fà e dunque consigliamo di scaricare eventuali update solo dal sito ufficiale di Adobe. Per coloro che sono caduti nella truffa invitiamo ad effettuate una scansione antimalware completa per rimuovere l'applicazione dannosa. Inoltre è consigliabile cambiar password al proprio account Facebook. Informate ovviamente i vostri amici del problema ad esempio taggandoli in un post.

Virus su PC e furto password Facebook attraverso test intelligenza

Ancora pericolosi virus su PC veicolati attraverso Facebook. Appena lo scorso fine settimana avevamo visto questa truffa che scaricava uno script malevolo, attraverso un falso aggiornamento di Flash Player. Protezione Account ha individuato un nuovo attacco di social engineering, che colpisce gli utenti di Facebook e ruba le credenziali di accesso al social network. Si tratta di un test che si diffonde attraverso post sulle bacheche degli utenti e promette, dopo una determinata procedura, di conoscere in quale categoria mentale si rientra.

Facebook: falso Adobe Flash da fake YouTube scarica malware PC

Molti utenti stanno segnalando in queste ore il diffondersi sulle proprie bacheche di un post alquanto curioso. Il testo del messaggio che si potrebbe ricevere informa l'utente di un presunto tag a video e recita precisamente: "www,facebook,com/305673299476315 <--- ma sei te in sto video ??? (metti dei punti al posto delle virgole ♥)". Come visto in un caso precedente, il messaggio apparentemente sembra inviato da un amico, anche se in questo caso vi è un nuovo approccio alla truffa. Infatti, per renderla più credibile e soprattutto bypassare il sistema antispam del social network, nel messaggio si invita a sostituire le virgole con i punti. In questo modo non viene riconosciuto da Facebook come indirizzo Web ma semplicemente come un messaggio di testo.

Se effettuiamo l'operazione indicata nel post veniamo rimandati ad una delle pagine delle applicazioni truffa su Facebook

Cliccando su uno dei link presenti sulle pagine veniamo rimandati ad un sito esterno al social network e che ripropone la grafica di YouTube, dove ci viene chiesto di aggiornare Adobe Flash Player per poter visualizzare il presunto video.

Verrà dunque eseguito il download di un trojan downloader delle dimensioni di circa 339 Kb, che ovviamente è un falso aggiornamento del lettore Adobe Flash

Se avviamo il Trojan.AutoIT.Gen verrà modificata la chiave di registro:

HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|upme

Dati: C:\log\upme.exe

Autoit.gen è un Trojan che, anche se apparentemente innocuo, può effettivamente compiere attacchi e intrusioni del tipo screenlogging, rubare dati personali, ecc.

Verrà dunque avviato lo script malevolo che lavorerà in background. In tal modo accederà alla lista amici del profilo Facebook caduto nella truffa ed agirà a nome e per conto dell'utente loggato. Lo script invierà il messaggio post sulle bacheche di tutti gli amici. Il consiglio è di prestare sempre attenzione ai messaggi che ricevete in chat ed in bacheca. L'ultimo aggiornamento di Flash Player è stato rilasciato la settimana scorsa e dunque consigliamo di scaricare eventuali update solo dal sito ufficiale di Adobe. Per coloro che sono caduti nella truffa invitiamo ad effettuate una scansione antimalware completa per rimuovere l'applicazione dannosa. Inoltre è consigliabile cambiar password al proprio account Facebook. Informate ovviamente i vostri amici del problema ad esempio taggandoli in un post.

Falsa notifica email richiesta d'amicizia Facebook scarica il virus Zbot

Il team di sicurezza dei laboratori di Trend Micro si è recentemente imbattuto in un'attacco di spam che porta al download ad una variante del virus Zbot che utilizza un dominio di generazione tecnico. Il percorso prevede spam messaggi che arrivano nelle caselle di posta degli utenti come notifiche di richieste di amicizia Facebook.

Il messaggio reca un link che l'utente deve cliccare per approvare la richiesta di amicizia. Facendo clic sul link detto, tuttavia, sarà solo portarto ad una pagina che informa gli utenti che hanno bisogno di installare l'ultima versione di Adobe Flash Player per poter procedere. Non sorprende che il file scaricato non è l'installer di Adobe Flash Player ma un file malevolo rilevato da Trend Micro come http://TSPY_ZBOT.FAZ.

Un click offre il pulsante "Conferma richiesta di amicizia" ed indirizza il destinatario ad una falsa pagina di Facebook dicendo che la propria versione di Macromedia Flash Player è troppo vecchia e, per continuare offre un link per scaricare l'ultima versione del player, avverte Trend Micro.

Com'era prevedibile, il file offre un pezzo di malware - una variante di Zbot, per essere esatti. E se il destinatario non riesce a rendersi conto dell'assurdità che sta dietro ad una richiesta d'amicizia che pretende l'installazione della presunta ultima versione di Flash Player, finirà con il furto da parte del Trojan delle informazioni sul ​​proprio sistema.

SPY_ZBOT.FAZ, come la maggior parte delle varianti di Zbot, accede a un determinato sito al fine di recuperare un file di configurazione. Detto file di configurazione contiene l'elenco degli URL che il malware controllerà al fine di rubare le credenziali correlate. Ciò che rende questa variante particolare degna di nota, tuttavia, è che viene impiegato un dominio generazione tecnico.

Ciò significa che, a differenza di altre varianti di Zbot che hanno già un preset per accedere all'URL per scaricare il file di configurazione, TSPY_ZBOT.FAZ genera in modo casuale gli URL per accedere tramite una funzione di randomizzazione che è calcolata in base alla data corrente del sistema. Gli utenti sono protetti da questa minaccia attraverso il Trend Micro ™ Smart Protection Network ™.

Link nella chat Facebook scaricano virus, infettando Account e PC

Dopo "photo" il virus che per mesi ha infettato gli utenti di Facebook, un nuovo malware minaccia gli utenti del social network più popolare del Web. Anche in questo la diffusione avviene attraverso messaggi sulla chat di Facebook, provenienti da amici che hanno contratto l'infezione. Si tratta d'un malware studiato per accedere agli account ed infettare i computer degli utenti. Come in altri casi già visti, si presenta apparentemente come un file immagine in formato .JPEG, in realtà si tratta d'un file eseguibile .EXE. che una volta avviato darà il via all'infezione.

Il messaggio ricevuto in chat da un vostro amico che ha contratto il virus, vi invita a visualizzare una 'curiosa' foto cliccando su un link incluso

Se clicchiamo verrà avviato il download del cavallo di troia facebook-pic00023434023402.exe, chiamato da Protezione Account col nome di Trojan.AgentPic.Gen.A

Se avviamo il file verrà infettato il PC ed il nostro account invierà il link malicious ai nostri amici. Effettuando una scansione con il programma antimalware Malwarebytes ci viene mostrato il seguente rapporto:

03/08/2011 03:42:43
mbam-log-2011-08-03 (03-42-32).txt

Tipo di scansione: Scansione veloce
Elementi esaminati: 34986
Tempo impiegato: 35 minuti, 8 secondi

Processi infetti in memoria: 1
Moduli di memoria infetti: 0
Chiavi di registro infette: 0
Valori di registro infetti: 0
Voci infette nei dati di registro: 0
Cartelle infette: 0
File infetti: 2
Processi infetti in memoria:
c:\vritualroot\facebook-pic00023434023402.exe\harddiskvolume2\Windows\csrss.exe (Trojan.Agent)

File infetti:
c:\vritualroot\facebook-pic00023434023402.exe\harddiskvolume2\Windows\csrss.exe (Trojan.Agent)
c:\Users\ASUS\Desktop\facebook-pic00023434023402.exe (Trojan.Agent)

Il dominio da cui viene distribuito il malware presenta l'estensione .GR (Grecia) ed in effetti il sito risulta greco. Se sfogliamo tra le varie pagine dello stesso troviamo la vendita di prodotti dietetici. Il consiglio è quello di non cliccare indistintamente sui link ricevuti da amici in chat o in posta. Chiedere all'utente di cosa si tratta per verificare che sia stato realmente lui ad inviarlo. Se avete contratto l'infezione potete avviare una scansione con Malwarebytes Anti-Malware per la rimozione dei file infetti. Fate doppio clic su mbam-setup.exe e seguite le istruzioni per installare il programma. Alla fine, assicurarsi che un segno di spunta sia posizionato accanto alle seguenti voci:

• Aggiornamento Malwarebytes 'Anti-Malware 
• Lancio Malwarebytes 'Anti-Malware

Quindi fare clic su Fine. Se viene trovato un aggiornamento, verrà scaricato e installata l'ultima versione. Una volta che il programma è stato caricato, selezionare Eseguire scansione rapida , quindi fare clic su Scan. Quando la scansione è completata, fare clic su OK, allora Mostra i risultati per visualizzare i risultati. Siate certi che tutto sia selezionato, quindi fate clic su Elimina selezionati. Una volta completato, si aprirà un registro nel Blocco note. L'applicazione canaglia dovrebbe essere scomparsa.

Facebook spam: evoluzione dell'attacco chat con messaggi in posta

C'era d'aspettarselo, ma speravamo non accadesse. Protezione Account ha individuato un nuovo attacco spam agli utenti di Facebook che sfrutta, oltre la chat della piattaforma (sistema descritto precedentemente in questo post), anche la posta di Facebook. L'attacco compie dunque un notevole salto di "qualità". Lo stile è nel più classico degli attacchi spam su Facebook (ricordate Koobface?). Infatti potreste ricevere da un vostro amico che ha installato l'applicazione, un messaggio in posta che vi invita a cliccare su uno short URL (link accorciato), che camuffa l'indirizzo Web dell'applicazione spam. Il messaggio che potreste ricevere è un semplice: "Mira esto! [LINK] ("Guarda! [LINK]"). Se clicchiamo sul link ricevuto in posta verremo rimandati alla pagina di autorizzazione dell'applicazione, che chiederà il consenso per accedere alle nostre informazioni di base, che includono Id utente, lista degli amici e qualsiasi altra informazione per la quale la privacy è impostata su "Tutti". Inoltre l'applicazione potrà accedere, come di consueto per queste applicazioni, alla chat di Facebook.

Se diamo il consenso saremo rimandati su un sito o blog dove, ci verrà proposto del software malevolo o di giocare online attraverso Javascript. Inoltre saremo invitati a cliccare "Mi piace" su altre pagini riconducibili allo spammer di turno. Un sito web malevolo potrebbe cercare di installare dei software in grado di sottrarre le informazioni personali degli utenti, sfruttare il computer per attaccare altre macchine o semplicemente danneggiare il sistema. Alcuni di questi siti distribuiscono intenzionalmente software dannoso, ma alcuni dei siti possono essere compromessi senza che il proprietario ne sia a conoscenza o ne sia responsabile.

Nel frattempo và in onda la "consueta" sceneggiatura, cioè dalla vostra chat partiranno i messaggi automaticamente verso tutti i vostri amici, anche se off-line, contenenti gli URL fraudolenti. Non è la prima volta che Facebook si trova ad affrontare questo problema (come potete leggere in questo post). Seppur relativamente recenti, i siti di short URL sono tra i più apprezzati del web, complici anche le limitazioni al numero di caratteri imposte da social network come Twitter (140 caratteri per messaggio) che rendono indispensabile risparmiare quanto più possibile sulla lunghezza delle stringhe.

Il rischio, successivamente, è quello di spedire in maniera del tutto inconsapevole e casuale ai vsotri amici, dei messaggi di posta contenenti il medesimo short URL (rischiate dunque di essere segnalati per spam o bloccati dallo stesso sistema automatico di sicurezza di Facebook). La scelta non è casuale, infatti, ancor meglio della condivisione, attraverso la chat e adesso anche i messaggi di posta, è possibile raggiungere il maggior numero di utenti. Inoltre, dato che il "contagio" avviene attraverso messaggi di amici, la truffa sarà più credibile perchè fornirà un certo senso di sicurezza da parte dell'utente destinatario.

Spesso lo short URL è solo un pretesto per stimolare la vostra curiosità ed invitarvi ad accedere a pagine di cattivo gusto o peggio a trappole preparate da cybercriminali, che potrebbero infettare il vostro sistema con virus o trojan. I siti che offrono il servizio di short URL (google, tinyurl, bitly, ecc.) stanno attivamente collaborando con Facebook per la rimozione delle pagine contraffatte o pericolose per la presenza di malware o virus. Prestate dunque attenzione a tutti i messaggi che vi arrivano da amici e che contengono URL accorciati.

Si tratta di messaggi inviati all'insaputa dell'utente che ha installato l'applicazione sul proprio profilo e che ha visitato successivamente il sito malevolo. Facebook continua a disattivare le applicazioni rogue, ma di nuove sono pronte a nascere, perchè si tratta di un attacco in grande scala con pacchetti di applicazioni pre-confezionati disponibili in Rete. Prestate dunque attenzione e nel caso un vostro amico ne sia rimasto vittima, avvertitelo invitandolo a rimuovere immediatamente l'applicazione dal proprio profilo e a fare una scansione antivirus. Per conoscere cosa si nasconde dietro un servizio di short URL vi sono a disposizione vari servizi online, noi abbiamo scelto il servizio gratuito disponibile all'indirizzo www.unshorten.com, col quale è possibile sapere in anticipo (senza cioè visitare la pagina proposta dal link) a cosa si sta andando incontro. Questa pagina risulta particolarmente utile a chi vuole, specialmente nel social network, tutelarsi da false pagine che, contraffatte nell'aspetto ripropongono, per esempio, il sito di Facebook.

Una di queste applicazioni (che conta oramai milioni di utilizzatori, purtroppo) potete bloccarla cliccando direttamente su questo link. Ovviamente vi invitiamo a condividere il nostro post e per restare informati su ulteriori sviluppi visitate il nostro blog o iscrivetevi al nostro Feed.

False notifiche Facebook via email scaricano virus Zbot e Blackhole exploit

Websense ® Security Labs ™ Threatseeker ® ​​Network ha rilevato una nuova campagna e-mail dannosa mascherata come proveniente da Facebook. La campagna sembra essere effettivamente proveniente dalla spam bot Cutwail Pushdo. Pushdo è una delle più grandi botnet spamming su Internet. Questa è rimasta sotto controllo dal 2007, anche se è stata segnalata essere responsabile di una percentuale enorme di spam a livello mondiale. 

E' persino riuscita ad entrare nella Top 5 delle botnet più grandi senza mai raggiungere la prima posizione. Ci sono rapporti di 7,7 miliardi di email spam al giorno, provenienti da questa botnet, che la pone nella Top 2 delle spam botnet più grandi del mondo. "Povero Pushdo, sempre la damigella d'onore, mai la sposa!", commenatno gli esperti dei laboratori di  Trend Micro ®. 

In realtà la botnet Pushdo è una grande e fantasiosa "piattaforma di distribuzione" di software maligni. Una volta che la vittima è infetta, di norma visitando un sito Web dannoso, Pushdo scarica malware eseguibili, molti dei quali sono prodotti da terzi parti. Questo è l'unico tipo di comunicazione con il server di comando e controllo. A settembre 2010, per esempio, circa 5.000 messaggi di spam sono stati inviati agli utenti di Facebook da zombie Cutwail per circa 30 minuti. Ma questa volta, i criminali informatici utilizzano due vettori di attacco: ingegneria sociale e di un exploit kit.

Entrambi finiscono con l'istallare il trojan Zeus / Zbot sulle macchine bersaglio. A meno che non siete stati fuori da Internet negli ultimi anni, probabilmente avrete sentito parlare dell'enorme problema di sicurezza causato dalle botnet. Queste grandi collezioni di computer infetti comandati da capi criminali possono lanciare attacchi coordinati, dannosi ospitare siti web o inviare spam. I clienti Websense sono protetti da questo tipo di attacco con il loro motore Advanced Classification Engine per l'analisi dei dati e la loro suite di tecnologie interna TRITON. Ecco un esempio di una e-mail dannosa in lingua spagnola:

L'email è un falso maligno che appare come proveniente da Facebook.com e recita: “Hi, someone loves your photo comments, please click on the link to see all comments” (“Ciao, a qualcuno piacciono i tuoi commenti alle foto, clicca sul link per vedere tutti i commenti”). Esso fornisce un URL falso travestito da formale collegamento Facebook. Una volta cliccato, l'utente viene reindirizzato a una pagina di attacco e viene richiesto di scaricare ed eseguire un "aggiornamento" da Facebook. L'aggiornamento "file" è una variante del trojan Zeus / Zbot. Al momento della stesura, il file ha avuto "soltanto" un 7% di rilevazione, ma è in costante aumento. L'attacco non è però ancora finito.

Mentre avviene il finto caricamento della pagina Facebook, la macchina dell'utente viene attaccata silenziosamente in background con diversi exploit. L'exploit sono inviati tramite un iframe contenuto nella finta pagina Facebook attacco. Questo processo avviene in silenzio quando la pagina attacco viene caricata. Gli exploit sono caricati da uno dei prevalenti exploit kit oggi in maggior circolazione - il Blackhole exploit kit. Tutti gli attacchi hanno avuto successo. Vine stato scaricato ed installato silenziosamente il trojan Zeus / Zbot sulla macchina dell'utente. Ecco un iframe esempio dalla pagina di attacco su Facebook che punta a sfruttare il Blackhole kit:

Il Black Hole Exploits Kit , è una applicazione web sviluppata in Russia, che incorpora anche un'interfaccia in lingua inglese, e la prima versione (beta al momento) sta cercando di adattarsi al mercato nero da quando è stata distribuita nei primi di settembre 2010. Il suo costo è determinato sulla base di una serie di caratteristiche che cercano di differenziarsi dal resto. Questo modulo offre una visione rapida delle informazioni più rilevanti per un botmaster: numero di computer che fanno parte della rete e dei loro rispettivi paesi, sfrutta con elevati tassi di successo e l'elaborazione delle informazioni di altri.

A differenza di molti altri crimeware di questo stile, Black Hole Exploits Kit utilizza un sistema di licenze pagate a tempo. Ad esempio, l'acquisto di questo crimeware per 1 anno (attualmente il tempo massimo) costa $ 1500, mentre una semi licenza annuale e trimestrale, costa rispettivamente 1.000 dollari e 700 dollari. 

La tendenza segna un lieve incremento graduale ma nei sistemi operativi impegnati che non appartengono alla famiglia di Microsoft. Questo include crimeware per piattaforme basate come GNU / Linux e Mac OS. Altri, come il Siberia Exploit Pack e Eleonore exploit kit includono piattaforme per dispositivi mobili di fascia alta e console di gioco. Inoltre al costo di 50 dollari si può utilizzare in alternativa il sistema di crittografia. 

Questa funzione è un modello per il "servizio" extra offerto dagli sviluppatori di crimeware, come la possibilità di verificare l'integrità dei malware (AVChecker) che si diffondono attraverso crimeware. Per effettuare questa verifica, è spesso usato VirTest , il servizio privato di origine russa che è diventato uno dei preferiti dai criminali non solo per il controllo della reputazione ma anche per la diffusione di malware sfruttati dai pacchetti. 

Ci sono confezioni crimeware diverse che hanno recentemente aderito modulo VirTest, compresa l'ultima versione di SpyEye . Questi exploit hanno il più elevato tasso di successo nello sfruttamento. Il Black Hole exploit kit include un TDS (Traffic Direzione Script) che consente l'indipendenza da altre applicazioni web, permettendo di manipolare arbitrariamente il traffico web, e probabilmente questa funzione attira l'attenzione dei criminali.