ImageGate, il ransomware Locky invade Facebook

Negli ultimi giorni sono aumentate le segnalazioni su malware piuttosto pericolosi che vengono diffusi attraverso Facebook. I ricercatori di Check Point hanno scoperto che alcuni cybercriminali sfruttano il social network per forzare gli utenti a scaricare immagini in cui è nascosto codice infetto. Quando la vittima clicca sul link ricevuto tramite Messenger viene avviato il download del ransomware Locky.

Un altro ricercatore di sicurezza aveva recentemente individuato un file SVG, pubblicato su Facebook, che contiene codice JavaScript infetto. Un clic sull’immagine porta l’utente ad un sito con interfaccia simile a YouTube e al download di un’estensione per Chrome necessaria per vedere i video. Il falso codec scarica e installa sul computer il ransomware Locky. L’azienda di Menlo Park ha subito bloccato la diffusione di link e file, mentre l’estensione è stata rimossa dal Chrome Web Store. Purtroppo, il problema è ritornato sotto altra forma.

https://www.youtube.com/watch?v=sGlrLFo43pY

Check Point afferma che l’exploit sfrutta un’errata configurazione del sistema di protezione implementato da Facebook. Per ingannare l’utente è sufficiente inviare tramite Messenger una normale immagine JPG. Se viene cliccata la foto, il browser scarica un file HTA. Se viene avviato il file sul computer viene installato il ransomware Locky. Tutti i file vengono quindi cifrati e l’unico modo per sbloccare l’accesso è pagare un riscatto.

La tecnica, denominata ImageGate da Check Point, ha finora avuto un discreto successo, dato che molti utenti si fidano di Facebook. L’azienda consiglia di non cliccare su nessun link sospetto e di non eseguire file con estensione HTA, SVG e JS. I social network visualizzano le immagini senza scaricare file sul computer.