Ekspertom ds. bezpieczeństwa dość rzadko zdarza się analizować szkodliwy plik stworzony w formie dodatku, który bez przeszkód działa w kilku różnych przeglądarkach internetowych. Jeszcze rzadziej zdarzają się wtyczki działające w przeglądarkach wykorzystujących całkowicie inne silniki. Na takie właśnie zagrożenie natrafili ostatnio eksperci z Kaspersky Lab. Jest nim robak LilyJade, który rozprzestrzenia się przez Facebooka w przeglądarkach Internet Explorer, Firefox oraz Chrome.
Robak LilyJade rozprzestrzenia się poprzez publikowanie wiadomości spamowych ze zhakowanych kont. Odsyłacze w wiadomościach spamowych prowadzą do zainfekowanych stron, na których ukryte funkcje przekierowują użytkowników do zestawu szkodliwych programów o nazwie NuclearPack. W skład tego zestawu wchodzi instalator robaka LilyJade, jak również wtyczki dla przeglądarek.
Po krótkiej analizie serwera kontrolowanego przez cyberprzestępców analitykom z Kaspersky Lab udało się trafić na ofertę sprzedaży tego szkodliwego programu na jednym z forów cyberprzestępczych. Oprogramowanie LilyJade zostało wystawione na sprzedaż za 1 000 dolarów amerykańskich. Dodatkowe 500 dolarów trzeba było zapłacić za instalator źródłowy, który pozwala nabywcy wprowadzić własne modyfikacje.
- LilyJade jest doskonałym przykładem nowoczesnych szkodliwych programów z klasy określanej jako Malware 2.0 – komentuje Siergiej Golowanow, ekspert ds. bezpieczeństwa, Kaspersky Lab. - Zagrożenia te wykorzystują do infekowania komputerów i generowania nielegalnych dochodów najnowsze technologie sieciowe, które stosowane są w portalach społecznościowych. Główną metodą oszukiwania użytkowników jest fałszowanie rozmaitych serwisów online - dodaje Golowanow.
Robaka wykryto podczas monitorowania aktywności pewnego botnetu. Programiści odkryli nietypowy moduł instalujący potencjalnie niebezpiecznie oprogramowanie na komputerach użytkowników. Nawiązywał on połączenie ze stroną internetową i instalował w folderze Program Files aplikację o nazwie "Facebook Lilly System". Po analizie okazało się, że głównym zadaniem tego szkodliwego programu jest fałszowanie modułów reklamowych w serwisach Yahoo, YouTube, Bing/MSN, AOL, Google oraz Facebook w celu przenoszenia użytkowników zainfekowanych komputerów na cyberprzestępcze strony WWW. Ponadto, analitycy stwierdzili, że szkodliwa funkcja nowego robaka obejmuje mechanizm rozprzestrzeniania się, który działa za pośrednictwem Facebooka.
