Malware-Gezwitscher auf twitter.com

Nicht nur User scheinen auf Twitter fleissig zu zwitschern; auch Malware zwitschert kräftig mit.
Seit gestern häufen sich die Berichte über verseuchte tweets (=Beiträge von “Usern”) auf dem Social Networking Dienst twitter.com.

Laut dem Sicherheitsspezialisten Panda Security sind hunderte, wenn nicht sogar Tausende tweets auf twitter.com mit Links auf Gefährliche Webseiten bzw Malware-Domains verseucht:

Quellen:

Und tatsächlich: Klickt man die Hot Topics auf Twitter durch, kriegt man mehrere Verseuchte Tweets aufgetischt:

Die betroffenen User Profile wurden höchstwahrscheinlich automatisch generiert. Die Profile sind zu haufen mit Gefährlichen Tweets verseucht:

Was neu und gleichzeitig prekär an der Malware-Kampagne ist, ist die Tatsache, dass die verseuchten Tweets nicht direkt auf die Webseite verweist, welche schlussendlich dem User die Malware anbietet, sondern über so genannte Kurz-URL-Dienste wie z.B. tinyurl.com, tinylink.co.za, a.gd, twitloops.com etc funktionieren. Der User weiss also weder, was sich hinter diesen Kurz-URLs tatsächlich für eine URL verbirgt noch, ob diese seinen Computer gefährden kann. Klickt in unserem Fall ein Twitter-User eine solche URL an, wird er an eine Webseite weitergeleitet, welche ihm einen gefälschten Flash-Player unter jubeln will. Dabei handelt es sich jedoch nicht um den Flash-Player, sonder um einen so genannten Rogue Antivirus (auch als Rogueware bekannt, siehe Wikipedia: Rogue-Software). Ich habe jedoch auch beobachtet, dass die Kurz-URLs teilweise direkt auf eine Webseite verweist, welche einen Rogue-AV anbietet (ohne diese als Flash Update zu tarnen):

Es scheinen hunderte gefährliche Kurz-URLs bei verschiedenen Anbietern angelegt worden zu sein, welche nun auf solche Malware URLs verweisen. Bis jetzt konnte ich folgende sichten (scheint jedoch erst die Spitz des Eisberges zu sein):

24dat.com

chickstube.cn

top-pornnet.com

Der angebotene Flash-Player hat verschiedene Datei Namen. Es handelt sich jedoch scheinbar immer um die selben zwei Files (siehe MD5 hash):

Gehen wir etwas genauer auf die Kurz-URLs ein: Interessant ist, dass die URL, an welche der User weitergeleitet wird, nicht fix hinter der Kurz-URL ein programmiert ist. Vielmehr verweisen die die Kurz-URLs scheinbar alle samt auf die selbe IP Adresse, welche dann schlussendlich eine Weiterleitung auf eine der obigen Webseiten macht. Dies jedoch auch nur, wenn der Browser des Users ein gewisses Kriterium erfüllt.

wget ohne User Agent:

wget mit MS IE User Agent:

Fazit
Wie Panda Security bereits berichtet hat, scheint die Malware-Kampagne derzeit tatsächlich ziemlich massiv zu sein. Benutzer von Twitter sollten deshalb bis auf weiteres keine Links bzw Kurz-URLs wie tinyurl.com & co auf twitter anklicken. Ansonsten gilt: Finger weg von angeblichen Flash-Plugins oder Video-Codecs! Der Adobe Flash Player sollte ausschliesslich auf der Orginal Webseite von Adobe (get.adobe.com) aktualisiert werden.

Für Unternehmen stellt sich nun natürlich die Frage, ob der Zugriff auf twitter.com bzw Kurz-URL Dienste temporär eingeschränkt bzw. gesperrt werden soll. Eine Antwort darauf habe ich leider nicht. Ich hoffe jedoch, dass Twitter das Problem möglichst rasch in den Griff bekommt. Der einzige Trost-Tropfen zur Zeit ist die Tatsache, dass die Kampagne derzeit scheinbar nur Englisch-Sprachig ist. Somit besteht die Hoffnung, dass nicht all zu viele Twitter-User aus dem deutschsprachigen Raum auf den gefälschten Adobe Flash-Player hereinfallen.

Wer jedoch denkt, Twitter stehe mit solchen Problemen alleine da, täuscht sich: Auch andere Social Networks wie z.B. Facebook und Myspace waren bereits Ziel solcher Attacken (siehe heise Security: “Neue Würmer attackieren MySpace und Facebook”).

Anbei eine Liste der Domains / IPs, auf welche die Kurz-URLs verweisen bzw welche ein Rechner nach der Infizierung kontaktiert:

Related Posts

• Fake hotel.de Booking Emails Hitting CH and DE
• Fake Swisscom And T-Mobile Emails Hitting CH and DE
• Malware Spreads Through Malicious PDF Attachments
• Delta Airlines Spam Lead To Citadel
• Dutch Spam Campaign Hits Switzerland With P2P ZeuS
• A Quick Update On Spambot Kelihos
• Ransomware Gets Professional, Targeting Switzerland, Germany And Austria
• Kelihos Back In Town Using Fast Flux
• Scareware Locks Down Computer Due To Child Porn and Terrorism
• Ice IX – Or Just ZeuS?