Anúncio falso de Tiririca no Facebook leva a página com vírus

Código iframe é semelhante ao que era usado em apps do Orkut.
Vírus brasileiro rouba senhas bancárias.

Um anúncio pago veiculado na rede social Facebook divulga uma página falsa do deputado federal Francisco Everardo Oliveira da Silva (PR-SP), o Tiririca. Segundos após ser acessada, a página redireciona o internauta para um código malicioso brasileiro capaz de roubar senhas bancárias. O anúncio chamava o internauta com a frase “abestado clica em curtir de abestado“.

As páginas patrocinadas pelo Facebook, nas quais os criadores pagam certa quantia para divulgação, aparecem eventualmente em páginas variadas da rede social, o que pode levar a uma infecção em massa sem a necessidade do malware se propagar pela rede.

O ataque foi detectado inicialmente nesta sexta-feira (29). Até o final deste sábado (30), o perfil tinha ganhado mais de mil “curtir” de internautas que aparentemente não perceberam que a página encontra-se infectada.

Código IFrame

Análise realizada pela equipe de Análise e Resposta a Incidentes de Segurança do Linha Defensiva (ARIS-LD) constatou que a página contém um iframe que permite a realização de um download de um arquivo executável hospedado em outro servidor.

A página utilizou o aplicativo Iwipa para que fosse possível inserir conteúdos através de iFrames. Em uma das linhas de código, o comando META REFRESH redireciona o usuário para “pagina.htm” no endereço www.ows.com.br, que por sua vez realiza outro redirecionamento para o arquivo www.facebook.com localizado no mesmo servidor. Desta forma, usuários podem confundir a janela de download com o endereço do site.

Fonte: Linha Defensiva