Sospetto virus, applicazione di Facebook molto strana.

[Xove]

Buon giorno a tutti,

nonostante possa sembrare uno dei tanti, comuni, malware che attanagliano internet ed i social network in particolare, questo l'ho trovato piuttosto strano!

Cercherò d'essere breve:
Poche ore fa ho eseguito l'accesso al mio account Facebook e successivamente ho impostato l'opzione per gestire direttamente la pagina che amministro, volevo creare un nuovo album per caricare degli scatti fotografici ma all'atto del click sul pulsante "Carica foto" all'interno del box creatosi (come di consueto) è apparso un messaggio testuale riportante una dicitura simile a: "Vuoi provare la nuova applicazione per caricare foto su Facebook?".
Il tutto sembrava fuorché qualcosa di esterno a Facebook stesso, di fretta ho accettato di scaricare l'applicazione, l'ho installata ed al termine, Google Chrome si è automaticamente riavviato. Tutto apparentemente a posto.

Torno a cliccare su "Carica foto" ma... sorpresa!
Ecco cosa si è mostrato ai miei occhi:


Mi sembra assolutamente chiaro che, essendo l'applicazione stessa di Facebook e io già collegato, non ci sarebbe dovuto essere bisogno di un nuovo login.

Alla fine ho fatto varie prove, ma questo programma mi insospettisce molto, senza annoiarvi troppo, ecco i punti oscuri:

-Login richiesto all'interno del box nonostante già ad accesso eseguito.
-Box che sembra un browser a se stante, cliccandovi all'interno col tasto destro e scegliendo 'proprietà', esce fuori il simbolo di Internet Explorer.
-Installazione del programma stesso in modo troppo frettoloso, senza alcuna conferma richiesta e con una semplice barra avanzatrice e tre voci, in inglese: "connessione", "scaricamento", "installazione"...
-Link di download dello stesso: http ://www. facebook.com/omaha/FacebookPhotoUploadSetup.exe (togliere gli spazi) a quanto pare risiede sui server di Facebook, eppure all'atto del download ho effettuato varie prove utilizzando la funzione Netstat ed ad ogni download lo scaricamento parte da differenti server, a volte su Facebook, altri su Google, altri ancora su indirizzi IP appartenenti alla società Akamai. Non per ultimo tentativo, quello nel quale Netstat è addirittura crashato.
-Il box per caricare le foto con quel metodo è presente solamente all'interno della pagina che amministro, cliccando su 'Carica foto' all'interno del mio profilo, la procedura è quella standard.
-Casualmente dopo vari tentativi il box per il caricamento è parso quello corretto, nell'atto del caricare le foto, mi crea un album vuoto e non le carica.


Onestamente tutto ciò è davvero MOLTO curioso, sopratutto per il fatto che il link risiede sul server Facebook...

Potrei aver dimenticato qualche dettaglio per via del sonno, nel caso ci fosse bisogno non esitate a porgere domande!


Sia chiaro che ho già cambiato password al mio account... vorrei comunque capire di cosa si tratta e come, eventualmente, pulire il mio pc.



Vi ringrazio per le eventuali risposte!

Ancora buona giornata.

[flaubert]

Da quello che descrivi non sò se tu sia realmente infetto:in ogni caso ti consiglio di fare una scansione completa del pc con malwarebytes antymalware ed eventualmente di pubblicare qui il log post scansione.
Qualora risultassi infetto,seguirai la guida del forum dedicata ad utenti con pc infetti:

http://www.hwupgrade.it/forum/showthread.php?t=1599737

[Xove]

Alcun malware è presente. Per fortuna.

Quest'applicazione... che è allora? Non se ne trovano tracce su internet!

[arnyreny]

Originariamente inviato da Xove

Alcun malware è presente. Per fortuna.

Quest'applicazione... che è allora? Non se ne trovano tracce su internet!

dovrebbe essere un'applicazione di facebook

e' questa?

http://www.facebook.com/apps/applica...d=219756407392

[Xove]

Non è questa, non ho alcuna applicazione attiva sul mio profilo, già debellate tutte.

[gennarino2]

ti consiglio di fare prima una scansione prima di decisioni affrettate.... fai la scansione.. e vedi se si risolve...

[Xove]

Ho già scansionato più volte e con più programmi. Niente.

[flaubert]

Ho provato ad installare l'.exe:tuttavia il firewall di KIS 2012 mi ha avvisato di alcuni comportamenti anomali dell'applicazione ed ho subito sospeso l'installazione.Direi che allo stato delle cose trattasi di sw sospetto....non saprei come classificarlo ma consiglio di non installare!

[arnyreny]

Originariamente inviato da flaubert

Ho provato ad installare l'.exe:tuttavia il firewall di KIS 2012 mi ha avvisato di alcuni comportamenti anomali dell'applicazione ed ho subito sospeso l'installazione.Direi che allo stato delle cose trattasi di sw sospetto....non saprei come classificarlo ma consiglio di non installare!

su virustotal ...che valutazione ha?

[flaubert]

Su VT niente:ha 0/43.

Credo che in questo caso l'euristica giochi un ruolo determinante.

[arnyreny]

Originariamente inviato da flaubert

Su VT niente:ha 0/43.

Credo che in questo caso l'euristica giochi un ruolo determinante.

sara' una bestia nuova...
a quando vedo l'euristica del kis non rileva nulla...se mi mandi il link in privato provo con prevx 4

[Xove]

Aggiungo che:

Da "chrome://plugins/" sono riuscito a disattivare lo stesso, mentre questi files sono stati creati al momento dell'installazione:

D:\USERS\-\APPDATA\LOCAL\FACEBOOK
+---CrashReports
+---PhotoUploader
|   \---1.0.0.2001
|           npFacebookPhotoUploader.dll
|           
\---Update
    |   FacebookUpdate.exe
    |   
    +---1.2.199.0
    |       FacebookCrashHandler.exe
    |       FacebookUpdate.exe
    |       FacebookUpdateHelper.msi
    |       goopdate.dll
    |       goopdateres_ar.dll
    |       goopdateres_bg.dll
    |       goopdateres_bn.dll
    |       goopdateres_ca.dll
    |       goopdateres_cs.dll
    |       goopdateres_da.dll
    |       goopdateres_de.dll
    |       goopdateres_el.dll
    |       goopdateres_en-GB.dll
    |       goopdateres_en.dll
    |       goopdateres_es-419.dll
    |       goopdateres_es.dll
    |       goopdateres_et.dll
    |       goopdateres_fa.dll
    |       goopdateres_fi.dll
    |       goopdateres_fil.dll
    |       goopdateres_fr.dll
    |       goopdateres_gu.dll
    |       goopdateres_hi.dll
    |       goopdateres_hr.dll
    |       goopdateres_hu.dll
    |       goopdateres_id.dll
    |       goopdateres_is.dll
    |       goopdateres_it.dll
    |       goopdateres_iw.dll
    |       goopdateres_ja.dll
    |       goopdateres_kn.dll
    |       goopdateres_ko.dll
    |       goopdateres_lt.dll
    |       goopdateres_lv.dll
    |       goopdateres_ml.dll
    |       goopdateres_mr.dll
    |       goopdateres_ms.dll
    |       goopdateres_nl.dll
    |       goopdateres_no.dll
    |       goopdateres_or.dll
    |       goopdateres_pl.dll
    |       goopdateres_pt-BR.dll
    |       goopdateres_pt-PT.dll
    |       goopdateres_ro.dll
    |       goopdateres_ru.dll
    |       goopdateres_sk.dll
    |       goopdateres_sl.dll
    |       goopdateres_sr.dll
    |       goopdateres_sv.dll
    |       goopdateres_ta.dll
    |       goopdateres_te.dll
    |       goopdateres_th.dll
    |       goopdateres_tr.dll
    |       goopdateres_uk.dll
    |       goopdateres_ur.dll
    |       goopdateres_vi.dll
    |       goopdateres_zh-CN.dll
    |       goopdateres_zh-TW.dll
    |       
    +---Download
    \---Manifest
        \---Initial