29 de junho de 2009 Nenhum Comentário29 June 2009 No Comment

Os cibercriminosos mais uma vez usaram a passagem de Michael Jackson, ‘Rei do Estouro,’ há alguns dias como uma oportunidade de ir sobre com as suas atividades maliciosas e atacar usuários inocentes.Cybercriminals once again used the passing of Michael Jackson, the ‘King of Pop,’ a few days ago as an opportunity to go about with their malicious activities and attack innocent users.

Notamos um e-mail (ver o Número 1 abaixo) sobre a morte de Michael Jackson escrita em espanhol que afirma ser de CNN o México.We spotted an email (see Figure 1 below) about Michael Jackson’s death written in Spanish claiming to be from CNN Mexico.

Sobre a análise mais fechada (ver o Número 2 em cima), encontramos que o remetente do e-mail não é válido – info@hi5.com que é um remetente spammed. O e-mail também conteve a informação exata sobre Michael Jackson, comprando-se credibilidade para engodar usuários no clique das conexões contidas dentro da mensagem.Upon closer analysis (see Figure 2 above), we found that the sender of the email isn’t valid – info@hi5.com which is a spammed sender. The email also contained accurate information about Michael Jackson, buying itself credibility in order to lure users into clicking the links contained within the message.

Acima citado e-mail também conteve uma conexão que olha de maneira suspeita a 'um vídeo de CNN exclusivo’ sobre o evento. A maior parte de outras conexões na mensagem spammed foram inacessíveis e não podem expor o site web correto. Mas uma conexão-el sitio em Internet TMZ (traduzido para inglês: ‘considerado no site web TMZ’) - que foi uma conexão ao sítio onde o vídeo é supostamente apresentado mas redireciona o usuário a outro sítio-http: malicioso//{BLOQUEOU}.com/openbb/avatars/imagen/CNN/indexx.php. A ameaça em acima citada página é descoberta pela Tendência Micro como HTML_DLOADR.ARM.The said email also contained a suspicious-looking link to an ‘exclusive CNN video’ about the event. Most of the other links on the spammed message were inaccessible and could not display the correct website. But one link—el sitio en internet TMZ (translated to English: ‘found in the TMZ website’)—which was a link to the site where the video is supposedly hosted but it redirects the user to another malicious site—http://{BLOCKED}.com/openbb/avatars/imagen/CNN/indexx.php. The threat in the said page is detected by Trend Micro as HTML_DLOADR.ARM.

Este sítio não contém nada exceto um contexto preto e uma caixa de mensagem dizendo o usuário que a versão de jogador de Relâmpago que corre no seu/o seu sistema não pode jogar acima citado vídeo. A caixa de mensagem contém três botões (ver o Número 3 em cima), clicando algum do qual provocará o carregamento de um file-flash-installer-windows.exe-which malicioso afirma ser a versão de jogador de Relâmpago certa que permitirá ele/o seu examinar o vídeo exclusivo. Acima citado arquivo malicioso é descoberto como BKDR_IRCBOT.BW. BKDR_IRCBOT.BW une-se a certo servidor IRC e logo junta um canal IRC onde espera por ordens de um usuário remoto.This site does not contain anything but a black background and a message box telling the user that the Flash player version running on his/her system cannot play the said video. The message box contains three buttons (see Figure 3 above), clicking any of which will trigger the download of a malicious file—flash-installer-windows.exe—which claims to be the right Flash player version that will allow him/her to view the exclusive video. The said malicious file is detected as BKDR_IRCBOT.BW. BKDR_IRCBOT.BW connects to a certain IRC server and then joins an IRC channel where it waits for commands from a remote user.

Bastante notável é que mesmo se um usuário escolher o botão Cancel, que deve permitir ele/o seu parar de carregar do arquivo, o sítio continuará empurrando o carregamento do codec, deixando usuários sem escolha mas tratar com o arquivo malicioso carregado no seu sistema.Quite notable is that even if a user chooses the Cancel button, which should allow him/her to quit from downloading the file, the site will continue to push the download of the codec, leaving users with no choice but to deal with the malicious file downloaded into their system.

A mensagem spam e o site web malicioso usado neste ataque já são bloqueados pela Tendência Rede de Proteção Inteligente Micro.The spam message and malicious website used in this attack are already blocked by the Trend Micro Smart Protection Network.

Correio de: TrendLabs | Malware Blog - por Tendência MicroPost from: TrendLabs | Malware Blog - by Trend Micro

Michael Jackson Video Leva a Carregamento de MalwareMichael Jackson Video Leads to Malware Download