Ao monitorar os dados da nossa Smart Protection Network™, notamos um arquivo suspeito do site http://{BLOCKED}bookhacking.com/FacebookHackerPro_Install.exe. Pelo nome do domínio, sugere que hospeda uma ferramenta de ação de hackers para o site de redes sociais Facebook.
Quando verifiquei, o arquivo supostamente é capaz de obter senhas do Facebook. Com base em nossa análise do arquivo de instalação, ele se comporta como um instalador comum que exibe um contrato de licença de usuário final (EULA) e oferece aos usuários a opção de salvar o programa na pasta de sua preferência. Instalar o arquivo de configuração deixa o arquivo malicioso "Toolbar.exe" na pasta temporária dos usuários sem o conhecimento deles.
Uma vez instalado, ele exibe uma janela que exige que os usuários codifiquem o endereço de e-mail ou ID do Facebook da conta do Facebook alvo:
Para parecer legítimo, o programa até mostra uma janela para indicar que a solicitação está em andamento. Após 2-5 minutos, informa aos usuários que a senha desejada foi encontrada:
Agora vem a parte interessante: para adquirir a senha, os usuários devem comprar uma chave de produto, que custa US $29.99. Se os usuários optarem por comprar uma chave de produto, eles são redirecionados para o site http://{BLOCKED}bookhacking.com/p/unlock.
Uma vez comprada, os usuários são novamente obrigados a codificar o endereço de e-mail ou ID do Facebook. Como a chave já foi fornecida, o programa agora mostra o seguinte:
Mas como o programa obteve isso? Simples: o programa baixou e usou um aplicativo de terceiros gratuito, projetado para recuperar e exibir senhas salvas no cache do navegador local dos usuários. Assim, a recuperação das credenciais só funcionará para usuários que têm senhas armazenadas em seus sistemas. O referido aplicativo de terceiros é uma recuperação de senha legítima, mas foi usado maliciosamente neste ataque.
Se a ferramenta de ação de hackers não conseguiu baixar o aplicativo de terceiros, o programa exibiria o seguinte aviso de erro:
A Trend Micro detecta o programa falso como SPYW_FAKEHACK, enquanto o arquivo deixado "Toolbar.exe" como ADW_PLUGIN. Minha colega Sarah Calaunan também descobriu outra ferramenta de ação de hackers para Facebook sendo vendida no site abaixo:
Uma vez que os usuários baixam e executam esta ferramenta (detectada como TROJ_DROPPER.ZGD), ela deixa o arquivo malicioso (detectado como TROJ_VBINJECT.XG). O arquivo deixado é um keylogger que intercepta certas APIs, rouba informações do sistema infectado e envia informações roubadas para uma URL específica.
Alguns usuários da Internet podem ser atraídos a baixar essas ferramentas, pois prometem acesso à senha do Facebook de alguém sem o consentimento deles. Felizmente, em vez da senha real, os usuários que baixam essas ferramentas de ação de hackers adquirem uma senha diferente e acabam pagando por um serviço falso.
Scam de Pesquisa no Facebook Aproveita-se do SOPA
Também notamos várias postagens suspeitas na parede do Facebook que aproveitam o polêmico projeto de lei Stop Online Piracy Act (SOPA). Usuários que clicam nos links contidos nessas postagens são direcionados para outro site:
Usuários que seguem as instruções são redirecionados para várias páginas, que eventualmente levam a uma página de scam de pesquisa. Este ataque é seu ataque de clickjacking comum que leva os usuários a scams de pesquisa, com usuários afetados spamando as mesmas postagens maliciosas na parede para seus contatos do Facebook. Para saber mais sobre ataques de clickjacking, você pode consultar nosso post na Enciclopédia de Ameaças "Pense Antes de Clicar: A Verdade por Trás do Clickjacking no Facebook."
A Trend Micro protege os usuários dessa ameaça via Smart Network Protection™, que impede o acesso aos sites que hospedam essas ferramentas de ação de hackers e os scams de pesquisa. Também detecta e exclui o malware relacionado do sistema. Por causa de seus 901 milhões de usuários, o Facebook é um alvo natural de atividades cibercriminosas. Para saber mais sobre como se proteger dessas ameaças, você pode ler nosso guia digital abrangente “Um Guia para Ameaças na Mídia Social”. Com análise adicional de Sabrina Sioting.