Koobface benytter exploits

I tillegg til de vanlige falske Flash-oppdateringene, har vi nå observert at bakmennene bak Koobface benytter exploits for å spre denne ormen.

De ferskeste linkene til Koobface har også en oppdatert side som skal lure brukere til å installere en falsk oppdatering av Flash. Tittelen på de nye sidene er "Video posted by * SpyCam *", og ser slik ut:



Dessverre har vi i det siste døgnet også sett tilfeller hvor brukere blir automatisk redirigert til sider som inneholder exploit-kode som forsøker å utnytte flere kjente svakheter på brukerens PC. Dette er en ny utvikling fra banden bak Koobface, som tidligere bare har benyttet seg av social engineering for å lure brukere til å installere ormen.



Siden inneholder et obfuskert javaskript som fyrer av fem exploits:



Exploitene som forsøkes er:

• MS06-014 Microsoft Data Access Components Exploit
• MS08-041 Microsoft Access Snapshot Viewer Exploit
• MS08-078 Internet Explorer XML Memory Corruption Exploit
• CVE-2008-2992/CVE-2007-5659 Adobe Acrobat PDF Exploits (printf, collectEmailInfo)
• MS09-002 Internet Explorer 7 Uninitialized Memory Corruption Exploit