Phishing su Twitter, Facebook e Linkedin: iscritti nella rete dei cybercriminali

GFI Software ha reso disponibile il VIPRE® Report, la classifica delle 10 principali minacce informatiche rilevate il mese scorso. In gennaio numerosi social network sono stati presi di mira dai criminali informatici, che hanno utilizzato messaggi di phishing rivolti in particolar modo agli utenti di Twitter® e Facebook. Altro spam è stato inviato, sotto forma di invito, agli iscritti di LinkedIn®. 

“I marchi dei più diffusi siti di social networking fanno sempre più parte della nostra cultura e il loro valore per i criminali informatici, che sono sempre alla ricerca di nuovi modi per mascherare i propri attacchi, è quindi destinato ad aumentare” ha dichiarato Christopher Boyd, senior threat researcher di GFI Software. 

“Sempre più giovani che fanno il loro ingresso nel mondo del lavoro considerano il social networking come parte integrante della propria vita quotidiana e i criminali informatici, sfruttando la popolarità di questi siti, riescono ad ingannare sempre più persone, inducendole a scaricare, inconsapevolmente, malware sul loro PC o dispositivo mobile. Le vittime forniscono così informazioni sul loro account che i cybercriminali possono utilizzare per raggiungere altre vittime potenziali”. 

In gennaio numerosi iscritti a Twitter hanno ricevuto messaggi diretti di phising, in cui venivano informati che un utente di Twitter stava diffondendo “blog sgradevoli” su di loro. I link contenuti nei messaggi conducevano ad un sito, che riproduceva fedelmente lo schermo di login di Twitter. Gli iscritti che incautamente inserivano le loro informazioni personali senza prima verificare l’URL di destinazione, venivano inviati ad una pagina di errore 404 e successivamente reindirizzati allo schermo reale di login di Twitter - per far loro credere che si trattasse semplicemente di un problema del sito. 

Gli utenti di Facebook sono stati bersaglio di un messaggio di spam molto simile, che li accusava di violazione delle policy del social network con “molestie o insulti” verso altri iscritti e che richiedeva la conferma delle credenziali dell’account, per evitare la cancellazione dal sito. Gli utenti che cliccavano sul link contenuto nel messaggio venivano condotti ad una pagina “controllo di sicurezza” nel quale dovevano inserire loro informazioni personali e le credenziali di login Facebook, specificando inoltre a quale tipo di servizio webmail fosse collegato il loro account.

Infine, a ciascun utente veniva richiesto di inserire le prime sei cifre della propria carta di credito, sia che avesse o non avesse acquistato in precedenza crediti Facebook; dopo l’inserimento delle prime sei cifre, veniva richiesto di completare il numero di carta di credito, per “verificare” l’account. Infine, lo stesso messaggio di phishing veniva inviato alla lista degli amici. Tramite Linkedin, il noto sito per le relazioni professionali, i membri che si identificavano come “titolari di aziende” hanno invece ricevuto false email con un invito a “connettersi” da parte di loro dipendenti. 

Cliccando su questo link, le vittime venivano indirizzate verso siti contenenti malware, che installavano vulnerabilità prive di patch sui loro PC. Solo gli utenti che non hanno cliccato sul link o che avevano adottato soluzioni di protezione aggiornate non sono stati infettati.

www.gfi.com

Le 10 minacce principali rilevate nel mese di Gennaio
L’elenco delle 10 minacce principali di GFI Software è stato stilato analizzando le segnalazioni provenienti dalle decine di migliaia di utenti di VIPRE antivirus, che fanno parte del sistema di rilevazione automatico delle minacce GFI ThreatNet™. Le statistiche di ThreatNet indicano che Trojans e Adware hanno dominato il mese, con ben sette esemplari su dieci.

Nome / Tipo / Percentuale
1. Trojan.Win32.Generic!BT / Trojan / 24.87

2. Trojan.Win32.Sirefef / Trojan / 3.25
3. GamePlayLabs / Browser Plug-in / 2.72
4. Yontoo (v) / Adware (General) / 2.51
5. BProtector / Misc (General) /  2.48
6. Trojan.Win32.Generic.pak!cobra /  Trojan /  2.47
7. InstallBrain (fs) / Misc (General) / 1.76
8. Wajam / Adware (General) / 1.69
9. Wajam (fs)  / Adware (General) / 1.45
10. Trojan.Win32.Ramnit.c (v) /  Trojan / 1.19

GFI Labs

I GFI Labs sono specializzati nella scoperta e analisi delle vulnerabilità e dei malware pericolosi, che potrebbero essere sfruttati per attacchi via Internet ed e-mail. Il team di ricerca indaga attivamente sui nuovi attacchi malware, creando e testando nuove risorse per i prodotti VIPRE home e business. GFI Software rappresenta la migliore fonte di software per la protezione web e della posta elettronica, archiviazione e fax, networking e software di sicurezza, nonché di soluzioni IT hosted per le piccole e medie aziende, commercializzati attraverso un’estesa comunità di partner. 

I prodotti GFI sono disponibili on-premise, nella ‘nuvola’ o in modalità mista. Grazie alla tecnologia vincitrice di numerosi riconoscimenti, a una politica tariffaria aggressiva e alla particolare attenzione rivolta alle esigenze specifiche delle piccole e medie aziende, GFI Software è in grado di soddisfare le esigenze delle PMI su scala mondiale. Come fornitore di infrastrutture per le PMI, GFI ha uffici negli Stati Uniti, Regno Unito, Austria, Australia, Malta, Hong Kong, Filippine e Romania, a supporto di centinaia di migliaia di installazioni in tutto il mondo. GFI Software è un’azienda orientata alla collaborazione con il canale e si avvale infatti di migliaia di partner in tutto il mondo. Inoltre è un Microsoft Gold ISV Partner.

Scam su Facebook si diffonde attraverso tag e installa estensione rogue

Un nuovo scam ancora attivo è approdato da qualche ora su Facebook. Sono in tanti e in varie parti del mondo a segnalare attraverso post e status la presenza d'uno strano link che si diffonde attraverso tag. Un nostro amico che è caduto nella trappola può taggarci in un post dove si legge testualmente: "Terör Örgütüyle Yapılan Catışmada 300 Ölü Terörist Ele Gecirildi 50 Şehitimiz Var Videoyu İzlemek İcin : [WWW.EMREBEZEK.***] Bu Videoyu İzlemeyen bizden Değildir", che tradotto significa più o meno: "I terroristi dell'Organizzazione del Terrore hanno sequestrato 300 persone Ci sono 50 martiri uccisi Per vedere il video: [LINK] Questo video non si può guardare".

Come avviene in questi casi, l'utente che viene taggato nel post clicca sul link spinto dalla curiosità. Il link rimanda ad una pagina esterna a Facebook con estensione del nome a dominio .COM (e dunque apparenetemente lecito), che a sua volta effettua un redirect automatico ad un dominio con estensione .TK. Ricordiamo che il dominio gartuito .TK è stato utilizzato spesso in passato per truffe e scam perchè è sufficiente un tot numero di viste mensili per restare attivo.

Sulla pagina esterna ci viene richiesto un aggiornamento del lettore multimediale Flash Player. Se clicchiamo su qualsiasi parte della pagina si aprirà una finestra pop-up di dialogo dove verrà richiesto di installare un componente aggiuntivo per il browser, in particolare per il popolare browser Chrome di Google (non è infatti funzionante su altri browser come ad esempio Internet Explorer, Firefox o Opera. Se decidiamo di installare il plug-in aggiuntivo, questo potrà accedere a diverse informazioni memorizzate sul nostro browser.

Ad esempio, questa estensione può accedere a tutti i dati dell'utente  su tutti i siti web; leggere e modificare la cronologia di navigazione; accedere alle schede e all'attività di navigazione; gestire applicazioni, estensioni e temi; accedere ai dati copiati e incollati; accedere a tutto il testo pronunciato utilizzando la sintesi vocale di Chrome; modificare delle impostazioni che controllano l'accesso dei siti web a cookie, JavaScript e plug-in. Dunque molte informazioni importanti e non solo, come spiega Google.

Infatti effettuerà proprio attraverso Javascript delle azioni a nome e per conto dell'utente di Facebook che ha installato il plug-in malware. Tra l'altro l'estensione è ancora presente sul Play Store di Google. Come abbiamo sempre consigliato, per mitigare proprio queste tipologie di attacchi malware, attivate il controllo approvazione tag del profilo. Per rimuovere l'estensione rogue digitate sulla omnibox del brwoser il seguente comando: "chrome://extensions/" oppure cliccate sul pulsante in alto a destra di Chrome e al menu che si apre cliccate su "Impostazioni" e poi su "Estensioni".

Qui cercate il plug-in da rimuovere e dopo riavviate il browser. Naturalmente, non dimenticate di rimuovere il post dal vostro profilo. Ricordate sempre di aggiornare qualsiasi programma dal sito ufficiale quando possibile (ad esempio Adobe Flash Player dal sito http://get.adobe.com/flashplayer/). In ogni caso, per visualizzare un presunto video (che in realtà non esiste) non è necessario alcun aggiornamento, ed in particolare per Chrome l'evetuale update avviene in modo silente. Tra l'altro la versione attuale non è quella indicata nella truffa bensì la 11.5.502.146 che è stata recentemente rilasciata da Adobe per patchare numerose vulnerabilità.

GFI Software, cybercriminali inviano spam fingendosi aziende conosciute

GFI Software ha rilasciato il suo VIPRE ® report di giugno 2012, una raccolta dei 10 rilevamenti delle minacce più diffuse incontrate il mese scorso. Nel mese di giugno, i ricercatori di GFI Software hanno riscontrato due nuove campagne spam con link a exploit Blackhole, che sembravano email di conferma provenienti da Twitter® e Amazon.com®. Con modalità simili, il marchio Delta Airlines® è stato protagonista di una campagna spam che aveva un unico obiettivo: infettare gli utenti con virus Sirefef e antivirus fasulli.

Falso aggiornamento di Adobe Flash Player nasconde codice pericoloso

A pochi giorni dalla conferma di un problema che affliggeva l'ultima versione del plug-in Flash, Adobe ha annunciato di aver risolto il fastidioso bug dei crash continui denunciato da molti utilizzatori del browser Firefox di Mozilla su sistema operativo Windows. Le due società hanno lavorato insieme per individuare le fonti di questi problemi e sembra adesso che tutto sia stato risolto. E forse proprio per questo, nonchè per la sua popolarità, Adobe Flash Player è ancora un'applicazione che viene preferita dai criminali informatici per le campagne che coinvolgono i falsi aggiornamenti.

Il nuovo schema di attacco scoperto da esperti di Zscaler inizia con una pagina Web che comunica all'utente che è in esecuzione una versione non aggiornata di Flash e richiede un aggiornamento del plugin per guardare un video. Il falso aggiornamento fFlash è in realtà un eseguibile dannoso. Questo tipo di attacco è ancora in corso.

L'aggiornamento è in realtà una falsa estensione per i browser Web. A seconda del browser in esecuzione sul PC della vittima, viene presentato un file. XPI (Firefox), un file .CRX (Google Chrome), o un file .Exe (Internet Explorer). Una volta installata, queste estensioni permettono all'attaccante di accedere alla macchina infetta.

Tuttavia, questa non è la preoccupazione principale. Il problema è che la maggior parte delle soluzioni antivirus non sono in grado di rilevare le estensioni dannose perché sono essenzialmente file di testo. Mentre l'eseguibile è facilmente identificabile come una minaccia, l'.XPI e il .CRX non sono rilevati come pericolosi da alcuni motori AV secondo VirusTotal.

"Un altro aspetto degno di nota è il fatto che l'add-ons non contengono codice dannoso, piuttosto, quando il browser si avvia, l'add-on preleva il codice JavaScript dannoso da un server esterno e lo esegue", spiega Julien Sobrier, ricercatore di Zscaler. I file correnti non sono molto pericolosi, ma potrebbero cambiare in futuro.

Un iFrame invisibile viene inserito in ogni nuova pagina caricata. L'iFrame contiene pubblicità dal resultsz.com, e contiene un nome utente nell'URL. "Questo mi dice che l'autore adware prende soldi per il traffico inviato a questo sito, anche se l'utente infetto non può effettivamente vedere ciò che viene caricato", aggiunge Sobrier.

"L'autore potrebbe cambiare il file remoto in qualsiasi momento per fare molti più danni, come rubare i cookie per ottenere l'accesso agli account utente su qualsiasi sito, rubando username / credenziali di accesso o password precedentemente salvate, ecc.", conclude l'esperto. Il consiglio è dunque quello di prestare sempre attenzione ai siti che si visitano, ai link su Facebook o altri social network, e di effettuare qualsiasi aggiornamento dal sito ufficiale del produttore, in questo caso Adobe (http://get.adobe.com/it/flashplayer/), ricordando che Chrome include già Adobe Flash Player e che si aggiorna automaticamente quando è disponibile una nuova versione di Flash Player.

Nuovo Trojan attacca utenti in online banking attivando cam e microfono

I G Data SecurityLabs scoprono un nuovo Trojan che attacca gli utenti durante l’online banking. Se l'autore del popolare Trojan bancario SpyEye sembra essersi volatilizzato, il Trojan è ancora ampiamente utilizzato dai criminali informatici di tutto il mondo. I G Data SecurityLabs, infatti, hanno scoperto una nuova e pericolosa versione dello SpyEye che consente ai criminali informatici di controllare completamente il computer delle loro vittime in remoto. La novità, rispetto alle altre versioni, consiste nel fatto che lo SpyEye in questione contiene anche un nuovo plug-in chiamato "flashcamcontrol” in grado di trasmettere le informazioni provenienti da webcam e microfoni degli utenti a un server controllato dai criminali.

Falso avviso Facebook informa cancellazione account e scarica malware

Una nuova pericolosa truffa si sta diffondendo su Facebook. Avete ricevuto una e-mail che chiede di confermare la richiesta di cancellazione del vostro account? State in guardia. Gli esperti di Sophos sono stati contattati da un loro lettore dopo aver ricevuto una mail proveniente apparentemente da Facebook e che ha suscitato i suoi sospetti. Nella lettera si legge:

"Hi [email address] We are sending you this email to inform you that we have received an account cancellation request from you. Please follow the link below to confirm or cancel this request

Thanks,
The Facebook Team

To confirm or cancel this request, follow the link below:
click here"

"Ciao [indirizzo email]

Ti invio questa email per informarti che abbiamo ricevuto una richiesta di cancellazione dell'account da te. Segui il link qui sotto per confermare o annullare questa richiesta

Grazie,
Il team di Facebook

Per confermare o annullare questa richiesta, seguire il link qui sotto:
clicca qui"

Il lettore di Naked Security ha fatto bene a essere sospettoso. Il link infatti non punta a una pagina ufficiale di Facebook, ma ad un'applicazione di terze parti in esecuzione sulla piattaforma del social network. Naturalmente, questo significa che il link accede a un indirizzo facebook.com, ciò potrebbe ingannare coloro che sono poco cauti.

La prima cosa che si può incontrare se si clicca sul link è un messaggio che chiede se si desidera consentire l'esecuzione sul computer di un'applet Java sconosciuta. E sembra che la richiesta sia piuttosto insistente. Infatti, se si preme il pulsante "No grazie" si verrà continuamente "tormentati " per dar il consenso all'esecuione dell'applet Java.

"Viene utilizzato del social engineering abbastanza astuto dai truffatori che stanno dietro questo attacco malware. Sanno che la gente tiene molto ai propri account Facebook, e molti sarebbero sconvolti dal perdere l'accesso e le connessioni digitali che hanno costruito con gli amici e la famiglia", scrive Joanne Garvey, ricercatore di sicurezza di Sophos Labs.

La speranza dei criminali informatici è che le vittime accettino ciecamente ciò che il computer dice loro di fare, in modo da "risolvere" la richiesta di cancellazione dell'account. Se si da il consenso all'esecuzione dell'applet Java, verrà visualizzato un messaggio che informa che Adobe Flash deve essere aggiornato. Naturalmente, il codice che viene scaricato non è affatto un aggiornamento di Flash originale.

Invece, il programma aggiunge dei file nella cartella /WIN32, che hanno l'intenzione di permettere agli hacker remoti di spiare le vostre attività e prendere il controllo del vostro computer. I prodotti di sicurezza Sophos prodotti rilevano i malware e bloccano l'accesso al sito che ospita il codice pericoloso. Si tratta dei malware Mal/SpyEye-B e Troj/Agent-WHZ, che aprono una backdoor nel computer della vittima.

GFI Labs report: cybercriminali sfruttano grandi marche e social network

GFI Software ha rilasciato il suo VIPRE® report di marzo 2012, una raccolta dei 10 rilevamenti delle minacce più diffuse incontrate il mese scorso. GFI Labs ha anche documentato vari attacchi di spam e campagne email cariche di malware, che si sono infiltrati nei sistemi degli utenti con la scusa di comunicazioni da parte di rinomate aziende e promozioni per prodotti popolari e servizi. Google TM, LinkedIn®, Skype TM e il videogioco di Mass Effect TM 3 sono stati tra i marchi sfruttati dai cybercriminali.

Facebook rosa un virus? No, arriva nuova versione: guida alla rimozione

Alla fine del mese scorso siamo stati tra i primi a segnalare la truffa del cosiddetto "Facebook Rosa", ribattezzato da molti siti internet come "Facebook versione donna". Anche la Polizia di Stato è intervenuta sull'argomento con un comunicato ufficiale nel quale si avvisa della diffusione d'una applicazione malevola su Facebook. Per semplicità viene definita "virus" da molti siti internet e blog, in realtà si tratta d'una estensione per browser. La sua diffusione è a tutt'oggi "virale", ma non agisce allo stesso modo di un virus informatico.

False anteprime video YouTube su Facebook scaricano pericoloso virus

Sono in corso nuove truffe su Facebook attraverso post che sembrerebbero anteprime di video YouTube. Come in truffe già viste nei mesi scorsi, quando si clicca non si aprirà il video ma si viene rimandati a siti esterni che nulla hanno a che vedere col famoso sito di condivisone video. In particolare, il falso video che sta girando in queste ore sulle bacheche degli utenti e da noi analizzato mostrerebbe Angelina Jolie mentre fa sesso in un hotel. I post recitano testualmente: "[Video]Angelina Jolie getting ****** in hotel!! [LINK] ‎[Video] Looking for Celebrities we stumble on tapes, top pics, nipple slips, upskirts, cameltoes, paparazzi oops, see-throughs. All celebrity tapes". La tecnica utilizzata è quella del pluginjacking, per diffondersi in maniera virale tra gli utenti di Facebook e avere il controllo del browser di navigazione.

Se clicchiamo sul link veniamo rimandati ad un sito che riproduce la grafica di YouTube. Qui veniamo informati che bisogna aggiornare il Flash Player per poter visualizzare il presunto video.

Se clicchiamo su "Install Plugin" viene scaricato il plug-in malware denominato go.js che effettuerà azioni a nome e per conto nostro su Facebook (taggando gli amici) ed avrà il controllo della nostra navigazione internet.

In particolare viene scaricato il trojan downloader in C:\Users\Utente\AppData\Local\ individuato da Zone Alarm come Trojan.JS.Agent.bxp, un minaccia virus definita come "grave" che aprirà una backdoor nel sistema compromesso.

Ovviamente non visualizzeremo alcun video "imperdibile" di Angelina Jolie ma ci saremo beccati un bel virus. Il consiglio è sempre quello di verificare l'URL del sito internet e che corrisponda in questo caso a www.youtube.com. Non scaricate aggiornamenti da siti non ufficiali, come ad esempio nel caso di Flash player direttamente dal sito ufficiale di Adobe http://get.adobe.com/it/flashplayer/. Coloro che sono caduti nella trappola devono rimuovere il plug-in dal loro browser seguendo le istruzioni riportate qui e cambiare in via precauzionale la pswword per accedere a Facebook. Effettuate una scansione antivirus del vostro sistema e tenete aggiornati i vostri strumenti di sicurezza. Rimuovete ovviamente il post dalla vostra bacheca, passando il mouse in alto a destra e cliccando sulla X o l'ingranaggio. Avvisate i vostri amici che potrebbero essere caduti a lorom volta nella trappola.

Facebook colorato di rosa? No, è un attacco spam con plugin malware

Dopo gli attacchi di phishing delle scorse ore, un nuono attacco spam torna su Facebook. Non solo i falsi gruppi che sventolano la possibilità di tornare al vecchio profilo Facebook dopo una determinata procedura, ma anche quelli che promettono di colorarlo. Protezione Account ha individuato infatti una nuova truffa del tipo pluginjacking che promette di colorare il profilo Facebook (a questo post trovate una ulteriore variante con diverso dominio e redirect). I post che si leggono sulle bacheche degli utenti recitano: "Il nuovo Facebook rosa (Edizione limitata) http://rosa-tema.****/******.php Sostituire il vecchio tema blu con il nuovo bellissimo tema rosa!".

Se clicchiamo sul link veniamo rimandati ad una pagina esterna al social network che ricorda il layout del nuovo profilo Timeline e la favicon con il logo di Facebook. E' presente anche un countdown che conteggia i secondi rimanenti per il cambiamento. Qui leggiamo: "Segui le istruzioni per far diventare rosa il tuo profilo! Fai clic su MI PIACE e su Inzia!".

Se clicchiamo sul pulsante "Mi piace" in realtà daremo il comando per aprire una finestra pop-up, dove leggiamo: "Per cambiare il tema di Facebook dal blu al rosa, è necessario installare il Plugin tema rosa. Per farlo, fai clic sul pulsante Installa qui sotto."

Se clicchiamo su "Installa" avvieremo il download del plug-in browser

Questo potrà accedere a tutti i dati sui siti Web che visitiamo

Se installiamo l'estensione si aprirà una pagina che sembrerà quella Facebook col nuovo colore ma in realtà è una pagina esterna al social network.

Nel frattempo verrà inviato un post sulla nostra bacheca Facebook che sarà visibile a tutti i nostri amici, bypassando il sistema di sicurezza del social network. Se clicchiamo su uno dei sondaggi si aprirà una pagina di abbonamento di 5 euro a settimana sul cellulare per partecipare ad un concorso. Ovviamente Facebook resterà tale e quale ma ci ritroveremo decurtato il nostro credito telefonico se procederemo ulteriormente. Inoltre la nostra navigazione web sarà "controllata" dal plugin malware. Coloro che sono caduti nella trappola devono rimuovere il post cliccando sulla X in alto a destra del post (l'ingranaggio per i nuovi profili Timeline) e ovviamente rimuovere l'estensione rogue, seguendo le istruzioni riportate in questo post, valevoli per i più diffusi browser web in circolazione.

Nuovo tema Facebook di San Valentino conduce a malware e scam

Il nuovo Diario di Facebook ha destato notevoli perplessità per il 50% dei milioni di utenti iscritti al social network più frequentato del mondo. E per questo Facebook ha cercato di porvi rimedio con un'applicazione dedicata che permette di trasformare il proprio profilo Timeline in un film della vita. Intanto, San Valentino 2012 si avvicina e non è mai troppo presto per prepararsi per il giorno degli innamorati, a quanto pare, anche quando si tratta di attacchi dannosi. Infatti, recentemente Christopher Talampas, Fraud Analyst di Trend Micro, si è imbattuto in una truffa di Facebook che sfrutta l'occasione imminente.

L'attacco ha inizio con un post sulla bacheca agli utenti interessati per invitare gli altri utenti ad installare il tema di San Valentino nel loro profilo Facebook. Sul post si legge: "Hey guys did you checkout the new Facebook Valentine’s Theme? Me and My Lover Installed :D  It Looks so Lovely!! ♥ ♥ Install Facebook Valentines Theme ! [LINK] Facebook Introduces the new valentines theme for valentines season" ("Ciao ragazzi avete provato il  nuovo Tema Facebook di San Valentino? Io e il mio amore l'ho installato: D sembra così bello! ♥ ♥ Installare Facebook a tema San Valentino! [LINK] Facebook introduce il nuovo tema San Valentino per il periodo di san valentino")

Una volta che gli utenti fanno clic su questo post, vengono reindirizzati a pagina esterna a Facebook ma che ripropone la grafica di Timeline e che li esorta a installare il presunto tema di San Valentino. Si noti che questo attacco funziona solo sui browser di Google Chrome o Mozilla Firefox.

Facendo clic sul pulsante INSTALL nella pagina, come in truffe viste recentemente, viene richiesto il download di un file pericoloso, FacebookChrome.crx che Trend Micro rileva come TROJ_FOOKBACE.A. Quando viene eseguito, TROJ_FOOKBACE.A esegue uno script che è in grado di visualizzare gli annunci di alcuni siti Web. Di seguito la porzione di codice javascript sulla pagina scam analizzato da Protezione Account che avvia l'installazione del file malicious

Se si installa l'estensione nel browser di nome Facebook Improvement ! Facebook.com questa potrà accedere a "tutti i dati di tutti i siti web"

Una volta che questa estensione maligna per il browser è installata, controllerà le attività di navigazione degli utenti e reindirizzerà la loro pagina su una pagina sondaggio scam chiedendo il loro numero di cellulare. Gli utenti che hanno cliccato sul post utilizzando Internet Explorer (IE) verranno reindirizzati alla stessa indagine, senza che a loro venga chiesto di scaricare nulla.

"Con l'obiettivo dell'attacco principalmente costruito attorno al concetto di fingere di essere un valida estensione Chrome, si può ragionevolmente concludere che gli utenti Chrome sono l'obiettivo principale di questo particolare attacco, con il reindirizzamento di IE come più di un ripensamento", commenta Talampas. Ma mentre ci possono essere attività di monitoraggio dei browser coinvolti, TROJ_FOOKBACE.A non sembra avere alcun furto di informazioni tecniche. Si adatta più cje altro ai criteri di un attacco clickjacking, dove avvengono automaticamente diversi "Like" di Facebook alle pagine così come i messaggi automaticamente postati sulla bacheca dell'utente interessato.

Il fatto che lo stesso attacco si concentra su Chrome e Firefox può significare che i criminali informatici stanno prendendo di mira estensione browser compatibili, così come vanno a scegliere i browser più diffusi. "Questo non è il primo attacco di questo tipo, ma considerando che l'estensione browser che supportano sta venendo ora alla ribalta, serve da monito per tutti noi che questa può essere una tendenza di proseguimento che i soggetti malintenzionati di Internet stanno andando a seguire nel prossimo futuro", conclude Talampas. Trend Micro protegge gli utenti da questo attacco tramite Trend Micro ™ Smart Protection Network ™ , che rileva il file maligno e blocca tutti gli URL dannosi relativi.

I consigli di Protezione Account sono i seguenti:

• Rimuovete eventuali messaggi sulla bacheca di Facebook che avete postato e / o segnalate a Facebook come spam eventuali messaggi pubblicitari di marchi che vedete sul tema di San Valentino.
• Se avete effettuato l'installazione, disattivate e disinstallate immediatamente l'estensione Facebook Improvement ! Facebook.com da Chrome e / o Firefox (istruzioni illustrate qui)
• Controllate le pagine alle quali vi siete iscritti volontariamente o involontariamente (a causa dell'estensione maligna), collegandovi a questo pagina su Facebook e cliccate su "Non mi piace più" in corrispondenza delle pagine sconosciute.
• Avvisate i vostri amici di non cadere in questa truffa o in altre simili e di non scaricare qualsiasi browser plug-in da fonti non attendibili / sconosciute, prestando attenzione ai link postati su Facebook dai vostri amici e parenti.

Applicazioni truffa su Facebook inducono a scaricare plug-in malware

In queste ore sono attive una serie di truffe individuate da Protezione Account che consistono in false applicazioni per guardare chi visita il profilo Facebook e false offerte per acquisti presso una particolare catena di ristoranti. Per ciascuna tipologia di truffe si viene invitati ad installare delle estensioni malware per il browser di navigazione, che permetteranno agli spammer di raccogliere informazioni su di voi ed effettuare azioni a nome e per conto vostro. Nonchè resterà aperta una porta di comunicazione in background tra loro ed il vostro browser. La prima applicazione scam che andiamo ad analizzare s'intitola:

I KNOW WHEN YOU LOOK AT MY PROFILE USING THIS: [Short URL]

NEW! See who views your profile!

[LINK]

Do you want to know who is looking at your photos right now? Find out who looks at your profile the most and what they look at!

So quando si guarda al MIO PROFILO UTILIZZANDO QUESTO: [URL breve]

NUOVO! Vedere chi vede il tuo profilo!

[LINK]

Volete sapere chi sta guardando le vostre foto in questo momento? Scopri chi guarda di più il tuo profilo e che cosa guarda!

Se si clicchiamo sul link veniamo rimandati alla falsa pagina dell'applicazione all'interno di Facebook

Se facciamo click sul pulsante "begin", verrà avviato il download di un'estensione maligna per il browser

Un'altra truffa, ospitata su un noto sito di scam che ripropone perfettamente funzioni e grafica del social network, offre la possibilità di ricevere delle false card per un valore di 100 dollari da spendere presso la famosa catena di ristornati Applebee.

Il funzionamento è il medesimo. Se clicchiamo sul pulsante "begin" scaricheremo l'estensione rogue. Per rendere più credibile la truffa verranno visualizzati i nostri amici come se avessero cliccato "mi piace" sulla pagina, in realtà non vi è stata alcuna azione da parte loro. Di seguito parte dello script che aziona il download del plug-in malware

Come per la truffa già vista recentemente, nessuno può dirvi chi ha visto il vostro profilo Facebook. Inoltre prestate attenzione quando vi viene offerto qualcosa di sensazionale. Non installate plug-in per il vostro browser di dubbia provenienza e verificate sempre di trovarvi sul sito di Facebook.com e non su falsi siti esterni che ne ripropongono la grafica. Controllate le pagine alle quali siete iscritti andando su questo link http://www.facebook.com/browse/other_connections_of/. Rimuovete le applicazioni che non ritenete affidabili cliccando sul link delle Impostazioni applicazioni http://www.facebook.com/settings/?tab=applications. Ovviamente non dimenticate di rimuovere le eventuali estensioni rogue che avete installat sul vostro browser.