El siguiente post es una adaptación del realizado por nuestro compañero Righard Zwienenberg en el blog de ESET Norteamérica.
El reciente lanzamiento de ESET NOD32 Antivirus 6 y ESET NOD32 Smart Security 6 ha traído consigo la nueva aplicación gratuita para Facebook ESET Social Media Scanner, encargada de proteger nuestro perfil de contenido malicioso, asegurándonos de que el contenido de nuestro muro, actualizaciones de nuestros contactos y mensajes privados son revisados en busca de amenazas incluso cuando no nos encontremos conectados. Si una infección es encontrada se nos notifica por email y podemos reaccionar rápidamente.
Con casi 25 años trabajando en la industria antivirus espero que se me permita un poco de exaltación de mi ego para decir que tengo montones de “amigos” alrededor del mundo en la industria antivirus. Recibí un mensaje compartido por uno de ellos que hablaba de “un vídeo comprometido de Justin Bieber y Selena Gomez” en el que se prometían imágenes de Justin Bieber desnudo, tal y como se puede ver en esta fotografía modificada con Photoshop.
Solo por satisfacer nuestra propia curiosidad, para comprobar que estas fotos habían sido retocadas tan solo debemos buscar en Internet imágenes del cantante canadiense Justin Bieber junto a la actriz norteamericana Selena Gomez. De esta forma encontraremos fácilmente otras imágenes del mismo tipo que la mostrada en el enlace, aunque menos subidas de tono.
Poco después de que el mensaje fuera enviado a mi muro de Facebook recibí un mensaje de parte de ESET Social Media Scanner.
El mensaje forma parte de una campaña de click-jacking que se está propagando usando Facebook, redirigiendo al usuario a una web que aloja un vídeo falso. O al menos eso es lo que piensa el usuario. Antes de nada, debemos rellenar una encuesta que nos apunta de forma automática a una subscripción de un servicio de trivial que consta de 3 preguntas cada semana a un precio de 3 dólares cada una. En última instancia el vídeo no se muestra nunca, tal y como comentábamos no hace mucho en una campaña similar.
ESET Social Media Scanner está conectado a ESET LiveGrid, un escáner de protección en tiempo real basado en la nube que protege frente a amenazas basadas en ataques desde Internet y redes sociales. A través de ESET LiveGrid hemos visto 522 direcciones web únicas y 148 dominios únicos en la última semana que detectaban la misma amenaza (Trojan.JS/TrojanClicker.Agent.NDW), todas ellas prometiendo el mismo vídeo o uno similar.
Es interesante ver cómo la ingeniería social en este tipo de contenidos se ha ido desplazando desde el correo electrónico a las redes sociales. En 2001, fue el holandés Jan de W. quien propagó el virus Anna Kournikova usando el correo electrónico, prometiendo al usuario una fotografía de la tenista desnuda adjunta al correo.
En la supuesta foto adjunta al correo se encontraba un fichero de Visual Basic Script capaz de destruir una cantidad importante de archivos gráficos y propagarse a todos nuestros contactos de la libreta de direcciones enviando una copia del mensaje.
La gente toma decisiones absurdas cuando se les promete una celebridad desnuda. En aquella ocasión me sorprendió que un usuario estuviese intentando abrir el adjunto malicioso a pesar de que el antivirus se lo estaba bloqueando. Ya que él quería ver a Anna Kournikova desnuda a cualquier costa, desactivó la protección antivirus pero no por ello consiguió la fotografía deseada. ¡Incluso así, siguió insistiendo en saber qué debía hacer para obtener esa fotografía!
Este ejemplo demuestra que la gente cae víctima de la ingeniería social si el estímulo es lo suficientemente bueno. Los tiempos han cambiado y ahora es Justin Bieber y no Anna Kournikova el que es usado para engañar a usuarios desprevenidos y hacer que pulsen sobre enlaces en mensajes de Facebook. Pero, sin importar la celebridad que sea, parece que prometer una foto desnuda de dicha persona parece que aún funciona.
Por supuesto, informé a mi amigo que trabaja en la competencia del contenido malicioso que me envió. Resultó ser que él reenvió el mismo mensaje que recibió de otro de sus compañeros. Esto da que pensar sobre las políticas de seguridad presentes en esa empresa de seguridad.
Me gustaría añadir una cosa más: ¿por qué “alguno de mis amigos” piensa que yo podría tener interés alguno en ver a Justin Bieber desnudo? De todos modos, dejemos al joven en paz. Eso es lo que me gustaría si fuera mi hijo. ¿No pensáis lo mismo?
El porqué hemos titulado este post como “Vídeo comprometido de Justin Bieber y su novia. ¡No pulses sobre el enlace!” no tiene más secreto que conseguir que uséis los iconos para compartirlo en redes sociales, darle un “Me gusta” en Facebook, compartir el blog en LinkedIn o Google + o hacer una referencia a este humilde blog en Twitter. Seguro que así evitamos que más usuarios caigan en trampas de este tipo.
Traducido y adaptado por Josep Albors