Konta na Twitterze rozprowadzają scareware

O najnowszym ataku na Twittera poinformowali eksperci firm F-Secure i Sophos. Stwarzające zagrożenie dla użytkowników tego serwisu mikroblogowego fikcyjne konta zostały wygenerowane przez oprogramowanie, a nie utworzone przez człowieka. W przypadku niektórych z nich zmieniono nawet tła profili, co miało na celu ich uwiarygodnienie i wywołanie wrażenia, że należą do prawdziwych osób.

"Pochodzące z tych kont aktualizacje statusu także są generowane automatycznie" - powiedział Sean Sullivan z F-Secure.

Część z nich jest powtórzeniem prawdziwych aktualizacji, część nawiązuje do aktualnej listy "Trending Topics", najpopularniejszych tematów poruszanych przez użytkowników tego serwisu mikroblogowego. Celem wszystkich jest zachęcenie do pobrania i zainstalowania oprogramowania określanego mianem scareware, które usiłuje przekonać ofiary, że ich komputer jest zainfekowany, a następnie wyświetla w nieskończoność okienka zachęcające do zapłacenia od 40 do 50 dolarów za bezużyteczne oprogramowanie antywirusowe.

"Gdy tylko Twitter zamyka owe konta, tworzone są nowe" - mówi Sullivan. "W jakiś sposób obchodzą system zabezpieczeń CAPTCHA(...)."

Proceder zachęcania do kupna takiego oprogramowania może być dochodowy. Joe Stewart z SecureWorks, zajmujący się tematyką botnetów, poinformował w ubiegłym roku, że niektórzy mogli zarobić w ten sposób nawet 5 mln dolarów w ciągu roku.

"Większość z tych kampanii scareware nie trwa nawet 24 godzin" - mówi Beth Jones z Sophosa. "Gdy po jakimś czasie serwis [dystrybucyjny] jest blokowany, oprogramowanie znajduje się już w innym miejscu. Serwer na którym znajduje się fałszywe oprogramowanie zabezpieczające, które pojawia się na Twitterze, jest zlokalizowane w Toronto".

Dodatkowym utrudnieniem przed obroną przed tego rodzaju atakiem jest skracanie adresów URL przez wyspecjalizowane serwisy, po to by cała wiadomość mogła zmieścić się w 140 znakach. Przez to nie wiadomo dokąd prowadzą zamieszczone w aktualizacjach odnośniki. Zdaniem Jonesa, pomocne mogłoby się okazać korzystanie z oprogramowania w rodzaju TweetDeck, które umożliwia podejrzenie, na jaki serwer prowadzi zamieszczony odnośnik. Jednak w tym przypadku przy skracaniu odnośników korzystano z serwisu Metamark, a w TweetDecku nie można podejrzeć skróconych przez niego URL-i.

Twitter usunął już fikcyjne konta rozprowadzające scareware, jednak w systemie nadal dostępne są aktualizacje statusu zawierające feralne odnośniki.