El usuario recibe un mensaje en Facebook, la persona que lo manda tiene un apodo compuesto por «un nombre» video, aunque puede estar proseguido de otras palabras como «my first video», «my video», o «private video», además podría continuar con un emoji con cara sorpresiva.
El contenido es un link acortado que no se sabe de donde proviene, como señala Kaspersky Lab. Entonces, el usuario procede a hacer click y se encuentra con lo que parece ser un vídeo u otro contenido audiovisual.
Dicho formato visual es en realidad una captura de pantalla en un documento de Google Drive y aparenta ser una imagen borrosa reproducida automáticamente del perfil de la víctima, pero con la diferente de presentarse con lo que parece ser un botón de reproducción de vídeo.
Es entonces cuando la usuario pulsa el icono para descubrir de qué se trata ese vídeo en el que supuestamente sale, pero cuando hace click el sistema lo direcciona a varias páginas webs según su navegador, sistema operativo o geolocalización. Estos sitios, preparados por los cibercriminales, invitarán a la víctima a descargarse el virus, sin que sepa de qué se trata, como indica el proveedor Avira.
Entre estas fraudulentas páginas, un usuario de Google Chrome puede ir a parar a una web falsa de YouTube, donde se le mostrará un mensaje sobre un supuesto error de reproducción para lo que necesita descargarse una extensión maliciosa, como deja entrever Panda Security.Suspicious messages with a video link ("t.cn / bit.ly") are shared within #Facebook messenger. Avira #Antivirus customers are protected! pic.twitter.com/XliA9J64Nc— Avira (@Avira) 24 de agosto de 2017
En el caso de los que navegan con Firefox les llevará a un portal donde les obligan a realizar una falsa actualización de Flash a través de un archivo .exe para Windows. Mientras que las víctimas de Safari sufrirán un ciberataque similar, pero con un archivo con formato .dmg.
Esta descarga instalará un adware, un programa diseñado para reproducir publicidad en tu ordenador, redirigir las búsquedas a sitios web publicitarios y recopilar información de marketing sobre las preferencias. Sin embargo, cuando recopila datos sin consentimiento del usuario, se considera un spyware troyano.
Kaspersky señala que es un ataque atípico porque es la primera ver que se observa una campaña de adware en Facebook en el que interviene Google Docs, con páginas customizadas para aparentar ser fidedignas. Los investigadores han encontrado que el código usado es complejo y sofisticado.
No se ha observado la existencia que la descarga desencadene que un malware se establezca en el ordenador, pero sí que los cibercriminales se están haciendo con muchos dinero a costa de la plataforma de anuncios. Ya que, cada click en esos enlaces les está suministrado muchos ingresos.
Además, los links se están enviando desde cuentas reales, fruto del robo de contraseñas o navegadores secuestrados.
