Kliknąłeś w wilka brawo !

Atakujący wpadli na nowy pomysł nakłaniania internautów do otwierania niebezpiecznych załączników. Podszywają się pod usługę operatorów sieci GSM, rozsyłając e-maile o tym, że otrzymaliśmy nowego MMS-a. W załączniku nie znajdziemy jednak obiecanego zdjęcia, a złośliwe oprogramowanie.

Kiedy nie masz włączonej usługi MMS…

Większość operatorów telefonii komórkowej posiada mechanizm, który — w przypadku gdy nasz telefon nie ma włączonej transmisji danych lub aktywnej usługi MMS — wysyła nam SMS-a z informacją, że ktoś próbował nam przesłać wiadomość MMS, ale nie mogła ona zostać dostarczona. Zazwyczaj w takim SMS-ie znajduje się link do portalu sieci telefonii komórkowej oraz hasło do tymczasowej skrzynki, dzięki czemu możemy zobaczyć multimedialną wiadomość od znajomego.

Atakujący jednak działają inaczej — masowo wysyłają e-maile, podszywając się pod T-Mobile. Wiadomość wygląda tak:



Temat: MMS
Nadawca: noreply@mmsc.t-mobile.pl (zespoofowany — dop. red.)

Mobile: +489946751280 (losowy — dop. red.)
Passcode: H3O1XQKV (losowe — dop. red.)
Standard MMS umożliwia przesłanie wiadomości zawierających tekst, grafikę, zdjęcia, dźwięk oraz wideo pomiędzy telefonami z funkcjonalnością MMS w sposób automatyczny, zapewniając prawie natychmiastowe dostarczanie utworzonej wiadomości z jednego telefonu na inny.

oraz zawiera załącznik .ZIP, który po rozpakowaniu ujawnia plik *.jpg.exe o różnych nazwach:

FOTO_66487598.jpeg.exe
T_Mobile_MMS_FHFJG45DSw.jpg.exe
MMS_IMG 75690485.jpeg.exe

Pierwszą falę tego typu ataków odnotowaliśmy 23 kwietnia. Wykorzystywany wtedy malware jest obecnie wykrywany przez praktycznie wszystkie antywirusy (ze znanych niewykrywających: ClamAV). Wczoraj jednak atakujący, którzy najprawdopodobniej są Polakami, przypuścili kolejną falę ataków z nowym wydaniem trojana. Tym razem jest on wykrywany przez 27/47 antywirusów (z popularnych niewykrywających: Comodo i ClamAV).