Le plugin qui ne vous fait pas voir la vie en rose

Dans un monde résolument tourné vers les réseaux sociaux, on constate l’augmentation du nombre d’applications malveillantes. Et ce n’est pas faute d’avertir les utilisateurs afin qu’ils n’autorisent pas ces applications : elles récoltent des données personnelles sous forme de listes et installent des plugins.

Les Laboratoires Bitdefender ont détecté un site qui injecte du code JavaScript via un plugin malveillant sur les machines des utilisateurs.

Comment cela se passe ?

 Utilisant le prétexte d’un Facebook « en rose », ce site demande d’abord à ses visiteurs d'installer un plugin. Vous cliquez sur le lien que l’un de vos contacts vous a soumis en vous certifiant « Croix de bois, croix de fer, si je mens je vais en enfer. Ton profil sera rose, ça marche ! ».  Dès le départ,  Facebook vous met en garde :

Mais vous vous dites : « On m’a recommandé ce plugin, Facebook est trop parano ». Vous cliquez sur « Continuer », vous atterrissez alors sur cette page haute en couleur.

Le plugin malveillant  en cours d’installation

Le plugin, identifié par Bitdefender sous le nom de Troie.FBFraud.A, ne fonctionnait qu’avec les navigateurs Chrome et Mozilla Firefox. Cela signifie que les utilisateurs d'autres navigateurs sont à l’abri de cette menace et simplement redirigés vers une page vierge.

Le plugin Facebook malveillant pendant l’installation

Une fois le plugin installé, si l’utilisateur est connecté à son compte Facebook, le code JavaScript caché sera "liké" par le compte de la victime, à son insu. Un lien vers le site compromis est alors posté sur le mur de l'utilisateur, afin de favoriser la propagation de l'infection à travers différents cercles d'amis. Mais pas avant d’avoir offert une deuxième vie au compte Facebook de l’utilisateur.

Le compte Facebook après l’installation du plugin

Tout ceci agit comme un leurre pour la liste de contacts de la victime. Le but est de tromper les utilisateurs, autant que possible, en les incitant à cliquer sur le lien. Depuis ses débuts en janvier, l'escroquerie a été identifiée sur plus de 1 100 comptes Facebook.

Si l’utilisateur parcourt la page Web (le code source de ce type d'escroquerie notamment), il est redirigé vers une page Facebook, sur laquelle on a préalablement injecté de l’iFrame pour diriger l’utilisateur vers une page externe qui héberge un sondage, outil très prisé des scams pour récolter un maximum d’informations personnelles. Si ce n’est que la variante du Facebook rose demande à la victime d’envoyer un SMS à un numéro surtaxé. Les conséquences sont loin d’être gratuites pour votre forfait…

Sachez que depuis sa création, le site Facebook a toujours été bleu et blanc. La raison n'est pas esthétique ou arbitraire : son créateur, Mark Zuckerberg, est atteint de daltonisme et le bleu est la couleur qu'il distingue le mieux. Le passage à la couleur rose reste donc peu probable.

Cet article est basé sur les informations techniques fournies par Doina Cosovan, analyste Bitdefender et le laboratoire des Editions Profil.

Tous les noms de produits et de sociétés cités dans ce texte ne le sont qu’à titre informatif et appartiennent à, ou peuvent être des marques déposées de, leurs propriétaires respectifs.