El código ofuscado dentro de un archivo .svg descargado de uno de los sitios porno.
Crédito: MalwareBytes
El código ofuscado dentro de un archivo .svg descargado de uno de los sitios porno.
Crédito: MalwareBytes
Una vez decodificado, el script hace que el navegador descargue una cadena de JavaScript ofned además. La carga útil final, un script malicioso conocido llamado Trojan.js. LikeJack, induce al navegador a que le guste una publicación de Facebook especificada siempre que un usuario tenga su cuenta abierta.
“Este troyano, también escrito en JavaScript, hace clic en silencio en un botón ‘me gusta’ para una página de Facebook sin el conocimiento del usuario o el consentimiento, en este caso las publicaciones de adultos que encontramos anteriormente”, escribió el investigador de Malwarebytes Pieter Arntz. “El usuario tendrá que iniciar sesión en Facebook para que esto funcione, pero sabemos que muchas personas mantienen a Facebook abierto para facilitar el acceso”.
Los usos maliciosos del formato .svg se han documentado antes. En 2023, los piratas informáticos pro-rusos utilizaron una etiqueta .SVG para explotar un error de secuencias de comandos de sitios cruzados en RoundCube, una aplicación de servidor que fue utilizada por más de 1,000 servicios de correo web y millones de sus usuarios finales. En junio, los investigadores documentaron un ataque de phishing que utilizó un archivo .svg para abrir una pantalla de inicio de sesión de Microsoft falsa con la dirección de correo electrónico del objetivo ya se completó.
Arntz dijo que MalwareBytes ha identificado docenas de sitios pornográficos, todos ejecutados en el sistema de administración de contenido de WordPress, que están abusando de los archivos .svg como este para secuestrar me gusta. Facebook cierra regularmente cuentas que participan en este tipo de abuso. Los Scofflaws regresan regularmente usando nuevos perfiles.
