Em apenas 48 horas um recente malware já infectou milhares de contas do Facebook. Este malware tenta assumir o controlo da conta do utilizador e tem uma actuação idêntica à de um esquema de phishing, mas neste caso, através de uma notificação do Facebook.
O Brasil lidera o número de utilizadores que clicaram na notificação e desencadearam ataques às suas contas. Portugal é um dos países onde o malware fez também muitas vítimas.
Um especialista em segurança descobriu um ataque de malware que enganou cerca de 10.000 utilizadores do Facebook em todo o mundo para infectar os seus computadores, depois de receber uma mensagem de um pretenso amigo alegando terem sido mencionados no Facebook.
Os PCs comprometidos foram usados para sequestrar as contas do Facebook, a fim de espalhar a infecção através dos próprios amigos da rede social da vítima e para permitir outras actividades maliciosas. Foram atingidos por este malware vários países da América do Sul, com principal incidência no Brasil (37% de todos os casos), vários na Europa, onde se inclui a Alemanha e Portugal (como um dos mais infectados) e outros países como a Tunísia e Israel.
O ataque foi registado com mais frequência entre os dias 24 e 27 de Junho e milhares de utilizadores foram apanhados desprevenidos, ao receberem uma mensagem de um amigo no Facebook dizendo que os tinham mencionado num comentário, dando depois início a um ataque com duas fases.
Como funciona o ataque?
O ardil foi muito bem montado e baseou-se na curiosidade e vaidade dos utilizadores do Facebook. Numa primeira etapa, as pessoas que foram infectadas fizeram o download de um Trojan para o seu computador, através de um ficheiro Javascript.
Até aqui o utilizador não tinha a noção que está a entrar numa armadilha.
Passada a primeira fase de instalação do trojan, este começa por controlar a conta do Facebook do utilizador. Logo de imediato, o utilizador vê a sessão activa do Facebook ser encerrada. Este malware tem a capacidade de alterar as configurações de privacidade, extrair dados e muito mais, permitindo-lhe espalhar a infecção para outros amigos do Facebook da vítima ou desenvolver outras actividades maliciosas, como spam, roubo de identidade e gerando “gostos” fraudulentos, entre outras acções.
Um comportamento que também foi detectado foi uma tentativa de protecção do malware quando este tentou proteger-se ao criar uma lista de sites que ficaram bloqueados, como sites que pertenciam a empresas de segurança e outros sites de detecção de malware.
Quais são os sistemas operativos mais frágeis?
As pessoas que usam sistemas operativos Windows, incluíndo Windows Phone e Windows 10 Mobile, para ter acesso ao Facebook são os que correm um risco maior, segundo a empresa de segurança. Os que estarão mais protegidos são os utilizadores que visitam o Facebook com dispositivos móveis equipados com Android e iOS. Estes estarão imunes, pois o malware recorre a bibliotecas que não são compatíveis com estes sistemas operativos móveis.
Leia também: Phishing – Sabe o que é?
O Trojan que é descarregado utilizado pelos atacantes não é novo. Este foi detectado e reportado há cerca de um ano atrás, quando executava processos de infecção idênticos a este. Em ambos os casos, os rastos deixados pelo malware, em termos de idioma, apontam para que os “criadores” utilizem o turco.
O Facebook está agora a mitigar esta ameaça e procedeu já ao bloqueio desta técnica, que tenta disseminar o malware a partir de computadores infectados. Os investigadores do Facebook reportaram que, a partir do momento que fizeram estas acções, deixaram de ver mais tentativas de infecções. A Google também removeu pelo menos uma extensão da sua Chrome Web Store usada para neste esquema.
Como podemos saber se estamos infectados?
Verifique o seu Google Chrome
- Abra o browser, no canto superior direito clique sobre o ícone (que parece uma sanduíche) e vá a Definições
- Agora, navegue ao menu Extensões. Procure um ficheiro com o nome “thnudoaitawxjvuGB” (sem aspas).
- Se vir esta extensão, apague-a
Faça também o seguinte:
- No Windows vá a Iniciar > Caixa pesquisa e copie este comando %AppData%\Mozilla
- Procure por pastas e ficheiros como “autoit.exe” e “ekl.au3”
Se encontrar ficheiros destes, então o seu computador está, muito provavelmente, infectado.
E como posso remover este malware?
Se não o conseguir de forma manual peça ajuda a ferramentas que tratam disso, entre elas o Malwarebytes. Contudo há várias outras ferramentas que podem ajudar neste processo, como já mostrámos aqui.