Социальные сети, такие как facebook, MySpace, Orkut и т.д., являются одними из наиболее популярных сетевых ресурсов современного Интернета. Фактически, именно они олицетворяют собой то, что называется Web 2.0.

Авторы вредоносных программ уже обратили свое внимание на социальные сети. Некоторые сети уже становились объектами атак, в том числе нацеленных на получение персональных пользовательских данных.

В России среди социальных сетей наибольшей популярностью пользуются проекты ВКонтакте.ру, Одноклассники.ru и LiveJournal.

Мы обнаружили сетевого червя Rovud, который распространяется среди пользователей системы VKontakte.

Первый вариант червя был задетектирован рано утром 16 мая. Принцип его действия достаточно прост, но вместе с тем оригинален.

Тело червя размещено на одном из сайтов (возможно, взломанном) под именем deti.jpg. Для первого варианта червя ссылка имела вид:

http://Roland.misecure.com/deti.jpg

На самом деле, при клике на ссылку загружался не файл с изображением, а исполняемый файл.

Будучи запущенным на компьютере, червь ищет cookies пользователя ВКонтакте, после чего использует их для соединения с сайтом и начинает рассылать вредоносную ссылку всем «контактам» зараженного пользователя.

Если кто-нибудь из получателей проследует по ссылке, загрузит и запустит файл, цикл заражения повторится, и теперь уже «контакты» новой жертвы также получат опасную ссылку.

Работа червя сопровождается визуальными эффектами. При запуске он показывает на экране картинку:

Кроме того, червь обладает деструктивной функцией. 25 числа он должен вывести на экран следующий текст:

После чего червь начнет удалять файлы на компьютере жертвы.

Несмотря на то, что первый вариант червя достаточно быстро был обнаружен и другими антивирусными компаниями, а служба поддержки «ВКонтакте» была проинформирована об инциденте, остановить эпидемию за один день не удалось.

Неизвестные авторы червя изменили формат ссылки на зараженный сайт, которая посылается контактам жертвы, и таким образом смогли инициировать новую волну эпидемии. Очевидно, что администрация ВКонтакте просто программно запретила сообщения со ссылкой на файл deti.jpg. Авторы червя очень элегантно обошли это «ограничение».

Вариант Rovud.c рассылал ссылку:

http://vkontakte.ru/away.php?to=%68%74%74%70%3a%2f%2f%72%6f%6c%61%6e%64%2e%6d%69%
09%73%65%09%63%75%72%65%2e%63%6f%6d%2f%64%65%74%69%2e%6a%70%67

В результате нажатия на нее пользователь перенаправлялся все на тот же самый сайт http://roland.misecure.com/deti.scr.

Новый вариант - Rovud.c - был обнаружен утром 17 мая и в настоящее время количество обращений от пользователей, обнаруживших его «вредоносные» ссылки в своих учетных данных ВКонтакте, значительно превышает число запросов, связанных с первой версией червя!

Что еще более интересно – у этого червя существует предыстория. Дело в том, что за день до его появления, по Рунету прошлая массовая волна фишинговой атаки. Ее целью являлась «накрутка» рейтинга некоего пользователя:

Такое SMS просто поднимет рейтинг пользователя с указанным id. И разумеется, оно не бесплатное – стоимость отправленного сообщения составляет $0.30 без НДС.

В тот же день личная страничка данного пользователя была удалена администрацией ВКонтакте. А на следующий день появился червь Rovud, обыгрывающий тему с повышением рейтинга и подписывающий сообщение об «уничтожении компьютера» именем Павла Дурова, создателя проекта ВКонтакте.

Что это – просто месть «обиженных» хакеров или же некая продуманная атака против ВКонтакте, призванная подорвать его репутацию и снизить число пользователей, мы не знаем.

На момент написания этого поста файл червя уже был удален с сайта, с которого происходило его распространение. Однако это не исключает того, что в ближайшее время в Рунете появится очередной вариант Rovud.

Продолжаем следить за развитием ситуации.

Первой обнаружила вирус служба вирусного мониторинга Dr.Web. Специалисту незамедлительно сообщили об эпидемии администрации ресурса vkontakte.ru, после чего распространение червя прекратилось.
– Атака на социальную сеть очень показательна –
в ближайшее время такие атаки будут множиться, поскольку сразу есть возможность охватить большое количество людей, – сообщила корреспонденту Metro сотрудница пресс-службы компании “Доктор Веб” Людмила Гуртовая. – Вполне возможно, следующие атаки будут иметь целью инфицирование компьютеров для втягивания их в пиратские сети.
Что делать
Чтобы не подцепить этот или любой другой компьютерный вирус, следуйте инструкции.
1. Установите (если у вас его нет) на компьютер обновляемый антивирус.

2. Перед переходом по ссылке, пусть даже присланной вашим другом, спросите у друга о том, куда ведет эта ссылка. Возможно, ваш друг удивится и скажет, что никаких ссылок вам не посылал.

Создатель vkontakte Павел Дуров также рекомендует:
• Принимайте предложения вашей ОС об установке обновлений системы безопасности.
• Пользуйтесь браузерами FireFox и Opera, сводите к минимуму работу в браузере Internet Explorer.
• Пользуйтесь только теми сайтами, которые заботятся о вашей безопасности, например ВКонтакте.
• Пользуйтесь системами сканирования червей и вирусов.
• Если вам срочно нужно загрузить стороннюю ссылку, сначала нажмите кнопку “Выход” ВКонтакте.
• Внимательно относитесь ко всем предупреждениям о безопасности, которые вы получаете.