Danska kompanija CSIS upozorila je korisnike Facebook-a na pojavu novog crva koji cirkuliše društvenom mrežom koristeći ukradene podatke za prijavljivanje na hakovane naloge sa kojih šalje maliciozne linkove prijateljima korisnika zaraženih računara. Pored toga, crv preuzima i instalira različite maliciozne programe na zaraženim računarima korisnika, uključujući i jednu verziju ozloglašenog malware-a ZeuS.

Crv se širi putem kompromitovanih naloga i spamuje prijatelje korisnika zaraženog računara porukama koje sadrže samo link. Klik na link vodi potencijalnu žrtvu ka stranici na kojoj se nudi nešto što liči na skrinsejver koji treba preuzeti. Fajl koji je u vezi sa skrinsejverom ima ekstenziju JPG, ali zapravo nije JPG fajl, već izvršni - b.exe fajl. Ukoliko korisnik pokrene ovaj fajl, on će preuzeti i instalirati niz drugih malicioznih fajlova.

“Crv donosi koktel malware-a u računar, uključujući i verziju Zbot/ZeuS malware-a koji predstavlja ozbiljnu opasnost zbog krađe poverljivih podataka sa zaraženog računara,” kažu u CSIS-u.

Kod crva pisan je u Visual Basic i koristi niz tehnika zbog kojih je analiza u virtuelnom i sandbox okruženju značajno otežana. Samo dva antivirusna programa koje koristi VirusTotal ovog trenutka detektuju ovaj malware.

Crv se hostuje na različitim domenima pa link u porukama koje dobijaju korisnici Facebook-a od već zaraženih prijatelja sa mreže može biti različit. Ostali serveri koji su u sllužbi ovog crva koriste se za prikupljanje podataka koje šalje ovaj maliciozni program kao i za preuzimanje dodatnih malicioznih programa.

Ovaj crv zaslužuje posebnu pažnju i zbog toga što uključuje i kod ozloglašenog malware-a Zeus koji je često oružje u arsenalu napadača i koji se koristi u najrazličitijim aktuelnim kampanjama distribucije malware-a. Učestalo korišćenje koda Zeus-a stručnjaci objašnjavaju pojavom krekovanih verzija malware-a do kojih manje vešti napadači lakše dolaze. Zeus raspolaže brojnim potencijalima a posebno je specijalizovaan za krađu poverljivih podataka korisnika sa zaraženog računara kao što su oni potrebni za prijavljivanje na bankovne naloge.

Korisnicima se savetuje uobičajen oprez kada je reč o sumnjivim linkovima koji se nalaze u porukama sa Facebook-a. Ukoliko niste sigurni da je poruku poslao vaš prijatelj koji je potpisuje, pre nego što preduzmete bilo kakav korak, proverite da li je ta osoba zaista poslala takvu poruku. Ukoliko je odgovor odričan to samo znači da je nalog vašeg prijatelja kompromitovan a računar najverovatnije zaražen.