Cyberoszuści wciąż atakują, tym razem ofiarą padł najczęściej instalowany w Polsce komunikator Gadu-Gadu 10. Wczoraj specjaliści firmy CORE, dystrybutora oprogramowania antywirusowego AVG Technologies wpadli na trop nielegalnego instalatora najbardziej popularnego polskiego komunikatora. Ofiarą naciągaczy mogło paść nawet parę tysięcy nieświadomych zagrożenia użytkowników internetu.
Działalność cyberprzestępców, oszustów oraz zwyczajnych e-naciągaczy nie zna granic, przekonaliśmy się o tym kolejny raz wczoraj. Za cel ataku została obrana tym razem polska aplikacja Gadu-Gadu 10. przestępcy umieścili w sieci fałszywą wersję instalatora programu, będącą wręcz książkowym przykładem phishingu – czyli elektronicznego wyłudzenia pieniędzy.
Podejrzany plik instalacyjny Gadu-Gadu przesłaliśmy do centrali AVG Technologies, dzisiaj w godzinach porannych nasze podejrzenia się potwierdziły –. mówi Arkadiusz Zakrzewski, Specjalista pomocy technicznej AVG.PL. Samo wyłudzenie to jeszcze nie koniec atrakcji wraz z utratą gotówki otrzymujemy infekcję komputera gratis. Fałszywy plik instalacyjny Gadu-Gadu został zainfekowany nową odmianą konia trojańskiego Downloader.Generic.BLSS. Aktualizacja baz wirusów AVG została już przeprowadzona i nowa odmiana jest już wykrywana w bazie sygnatur AVG - dodaje.
Jak przyznaje A. Zakrzewski u niedoświadczonego użytkownika fałszywy instalator może nie wywołać podejrzeń, jest napisany poprawnie i opatrzony logo aplikacji, której się spodziewamy. Podstawowa różnica tkwi w tym, że oryginalne Gadu-Gadu jest narzędziem bezpłatnym, a plik instalacyjny, który został wykryty w sieci żądał wysłania dwóch smsów na numer Premium (7,32zł brutto) zarejestrowany w Chile, w celu dokończenia instalacji. Celem smsa jest niestety tylko i wyłącznie wyłudzenie od nas pieniędzy.
W pierwszej wiadomości odpowiedzi otrzymujemy informację, że jeszcze tylko jeden sms dzieli nas od otrzymania naszego kodu. Po wysłaniu ponownego smsa otrzymujemy sześciocyfrowy kod do instalacji Gadu-Gadu 10. Kod jest sprawdzany online i połączenie jest nawiązywane przez proces instalatora z adresem IP 195.78.228.246:80. Pod tym adresem znajduje się strona zarejestrowana w hiszpańskiej Sewilli. Jest to panel operatora firmy świadczącej usługi płatności smsem. W przypadku prób wprowadzenia fałszywego kodu program wyświetla komunikat, że podany kod jest nieprawidłowy. Jeśli spróbujemy instalacji bez aktywnego połączenia z Internetem lub zablokujemy proces instalatora zaporą to ujrzymy komunikat:
Tu już widać problemy z tłumaczeniem –. brak polskich znaków, tylko jeden wyraz zawiera jakby przypadkowo wprowadzoną literkę „ó”. Ewidentnie ktoś się nie przyłożył do tłumaczenia okienek komunikatów. Dlaczego do tłumaczenia? Po wydobyciu plików źródłowych specjaliści firmy CORE znaleźli obcojezyczną grafikę:
Ktoś odpowiedzialny za stworzenie polskiej wersji oszustwa nie przyłożył się również do posprzątania po oryginalnej wersji. W oryginale wyłudzane były pieniądze na koszt instalacji Windows Live Messenger w Hiszpanii, Chile, Argentynie, Ekwadorze wnioskując z ikonek flag umieszczonych obok opisu procedury –. również 2 smsy o określonej treści tylko na inny numer usługi Premium.
W stopce instalatora na etapie wprowadzenia kodu otrzymanego w odpowiedzi na dwa smsy widzimy adres strony www.libelasms.com –. to zarejestrowany w Chile operator sieci komórkowej. Po podaniu poprawnego kodu instalacyjnego w oknie fałszywego instalatora ten kończy pracę uruchamiając prawdziwy instalator komunikatora Gadu Gadu 10.
Oszustwo jest dość proste i szyte grubymi nićmi niestety osoby niedoświadczone mogą paść ofiarą i stracić nieco ponad 14zł, przy okazji infekując swój system nową odmianą konia trojańskiego.
Zastanawiające są poprawne treści smsów otrzymywanych z numeru Premium oraz wymóg współpracy z polskimi operatorami sieci komórkowych.
Dzisiaj wiemy już, że fałszywy instalator komunikatora Gadu-Gadu to tylko wierzchołek międzynarodowego oszustwa, oszuści działają na dużo większą skalę, a ich ofiarami padły światowe marki z branży IT! Podążając po śladach fałszywego Gadu-Gadu odkryto, że na tym samym serwerze istnieją dziesiątki plików z podrobionymi aplikacjami.
Wyłudzenia dotyczą MS Internet Explorer 8. Media Playera, OpenOffice, przeglądarek Firefox, Opera, Chrome, Safari, aplikacji WinRAR, międzynarodowych komunikatorów internetowych jak MSN, Skype, ICQ, Yahoo Messenger czy nawet gry sieciowej CounterStrike – te dotyczą zagranicznej próby oszustwa - pisze na swoim blogu Arkadiusz Zakrzewski, Specjalista pomocy technicznej w CORE. Oszuści starali się bardzo wiarygodnie przygotowywać swoje pliki i na przykład zachowana jest oryginalna forma nazewnictwa pakietów instalacyjnych – dodaje.
Na tym nie koniec, oszuści bazując na chęci zabezpieczenia się użytkowników Internetu za pomocą programów antywirusowych, podpieli się także pod programy zabezpieczające. Fałszywe wersje to między innymi Kaspersky 9.0. Norton 2010, MS Security Essentials, Avira 9, Avast 4.8, ClamAV czy nawet AVG 9.0.
Kolejny raz okazało się, że przestępcy bazują na małej świadomości społecznej zagrożeń płynących z Internetu –. przyznaje Arkadiusz Zakrzewski. Z drugiej strony oszuści sprawnie wykorzystali chęć ludzi do zabezpieczenia swojego komputera wykorzystując do swojego procederu pliki największych producentów oprogramowania antywirusowego. Wyłudzenie może dotyczyć już nie tysięcy, ale milionów użytkowników Internetu – podkreśla.
Cała procedura instalacji wykrytego przestępstwa wygląda identycznie jak w przypadku wspomnianego wcześniej fałszywego GG, zmieniła się tylko treść SMSa jaką trzeba wysłać –. zamiast MSG tym razem AVA.
Poniżej jeszcze jeden zrzut ekranu z widokiem kilku innych aplikacji, które padły ofiarami oszustów:
Wszystkie strony są zarejestrowane przez rejestratora domen z Chile. Na te same dane zarejestrowane jest aktualnie 135 aktywnych domen! Wynika z tego, że oszustwo ma ogromną skalę. Do jednego adresu IP podłączonych jest 19 witryn – doszukując się głębiej kolejnych adresów IP powinniśmy być w stanie ustalić kompletną listę oszukańczych witryn z aplikacjami. Serwery na jakich znajdują się strony internetowe korzystają z adresów IP zarejestrowanych w Hiszpanii.