Trojan Tubrosa giả tạo lượt view trên YouTube

[WhiteHat News #ID:3333]

Mã độc phát tán qua email dưới dạng file đính kèm, ảnh hưởng tới hệ thống máy tính.

Các nhà ngiên cứu chỉ ra cuộc tấn công gồm 2 giai đoạn, trong đó giai đoạn thứ hai là tải một danh sách chứa khoảng một nghìn link video trên YouTube trỏ đến video của kẻ xấu.

Mã PHP được sử dụng để vượt qua cơ chế xác thực của YouTube

Chương trình đối tác YouTube cho phép chủ sở hữu một kênh có thể kiếm tiền qua doanh thu từ quảng cáo.

Theo Symantec, Tubrosa được trang bị module có thể vượt qua cơ chế xác thực được chương trình đối tác YouTube sử dụng để phát hiện số lượt view có bị làm giả hay không.

Tuy nhiên malware này dựa trên hai đoạn mã PHP để thay đổi referrer (thông tin được gửi bởi trình duyệt của người dùng) và user-agent (một "chuỗi" nhận dạng khi trình duyệt gửi yêu cầu đến máy chủ web) chứa thông tin về nguồn gốc người xem. Bằng cách chạy các đoạn mãnày, mã độc này sẽ đảm bảo thông tin gửi đến YouTube về người xem là không giống nhau.

Tội phạm mạng kiếm hàng nghìn đô

Việc phát tán mã độc bắt đầu vào tháng Tám năm 2014, ngay khi đó kẻ xấu đã đăng những video của chúng lên YouTube. Thông tin từ các chỉ ra hầu hết máy tính bị ảnh hưởng là ở ở Hàn Quốc (26%), Ấn Độ (16%) và Mexico (16%).

Các quốc gia khác bị ảnh hưởng bao gồm Mỹ (10%), Thái Lan (10%), Thổ Nhĩ Kỳ (6%) và Ả Rập Saudi (6%).

Các nhà nghiên cứu cho biết hiện không thấy mã độc này được bán trên các diễn đàn ngầm mà chỉ được một nhóm tin tặc duy nhất sử dụng.

Mặc dù đã hoạt động được một thời gian và số lượt xem các video đã lên hơn 2 triệu lượt cuối năm 2014, tuy nhiên theo ước tính của Symantec hoạt động này có thể thu lợi vài nghìn đô.

Nguồn: SoftPedia​