Diffusion d’un adware via une application Facebook

Les chercheurs BitDefender ont découvert aujourd’hui un nouveau moyen permettant aux cybercriminels de tirer profit des utilisateurs naïfs en leur faisant installer des applications adwares. Plutôt que d’exploiter les vulnérabilités de la plateforme du réseau social, cette approche a recours à des techniques d’ingénierie sociale pour conduire les utilisateurs à interagir avec l’attaquant.

Chapitre I : L’Application

L’élément central de cette approche est l’application « Dance Class Video », une extension tierce qui n’a jamais été développée ni approuvée par le réseau social. La page de l’application a été artificiellement complétée par du contenu et des amis afin de gagner la confiance de la victime. Le principal objectif de l’application est d’envoyer des messages spécialement conçus et de continuer à faire de nouvelles victimes, comme l’explique la suite de l’article.
 

Chapitre II : L’appât

Le vecteur d’infection est simple et efficace. Des comptes compromis envoient des messages de spam sous la forme d’une vidéo Facebook : « [nom de la victime], this video is from the dance academy i went to last week.. what do u think?? » (cette vidéo provient de l’école de danse où je suis allé la semaine dernière. Qu’est-ce que tu en dis ? ). Dès que la victime a cliqué sur le lien, l’application lui demande une confirmation pour recueillir des données personnelles, envoyer un message en son nom ainsi que la permission d’envoyer ces messages sans autre confirmation.
 

Chapitre III : La charge utile

Une fois les confirmations nécessaires obtenues de la victime, cette dernière est redirigée vers la page de l’application qui se présente sous la forme d’un faux lecteur vidéo (il s’agit en réalité d’une image JPEG hébergée à l’extérieur de Facebook), lui demandant de mettre à jour son lecteur FLV afin de visionner la vidéo.
La page de téléchargement contient même un Contrat de Licence d’Utilisateur Final et une petite clause affirmant que la loi de l’État d’Alaska SB 140 interdit expressément qu’une application se livre aux actes ou aux pratiques trompeuses décrites dans le paragraphe en provoquant l’affichage de publicités pop-up sur l’ordinateur des utilisateurs au moyen d’un programme spyware. La page provoque également le téléchargement automatique d’un fichier binaire nommé FLVDirect.exe.
 

Une fois téléchargé et installé, le fichier binaire détourne la page de démarrage du navigateur et modifie les paramètres sans l’accord de l’utilisateur.

Il est utile de rappeler qu’un adware peut avoir, outre les problèmes classiques causés aux utilisateurs standards, d’importantes répercussions sur votre vie privée si vous donnez accès à des tiers au compte d’un réseau social contenant des informations personnelles.