O site da Oi, empresa de telefonia celular, foi usado para a disseminação de um vírus para os clientes que usaram o serviço para envio de torpedos online da operadora na quarta-feira (03/12)!
A suspeita no site da Oi, identificada na quarta-feira (03/12), mostra, que o endereço [urlhttps://mundooi2.oi.com.br/servicostorpedo]https://mundooi2.oi.com.br/servicostorpedo[/url] instalou um applet Java sem a permissão do usuário. Veja:
“Se o Java do usuário estiver desatualizado, ocorre um ataque de estouro de pilhas [conhecido tecnicamente como buffer overflow]. A primeira parte que é instalada é o applet Java e depois um cavalo-de-tróia, que vai baixar o vírus”, explica Almeida. Os dois primeiros estavam hospedados no site da Oi.
Almeida conta que “este executável altera arquivos de host do Windows e inclui URLs de bancos brasileiros que encaminham o usuário para um site clonado”.
A URL não muda no browser e, enquanto isso, os dados estão sendo roubados. O vírus é iniciado no primeiro boot do Windows – ou, às vezes, em reinicialização forçada pelo vírus, segundo Almeida – após este ser instalado.
A Oi foi avisada por Almeida sobre o problema em torno das 21h da quarta-feira (03/12). “Ela então removeu o vírus e o applet”, conta Almeida, que também avisou os servidores em que os IPs dos sites de bancos inclusos ali eram falsos.
Para saber se está contaminado, o usuário pode usar a busca de arquivos do Windows para encontrar os arquivos “ddaass.exe” e “OI.JAR”. Além disso, é preciso localizar o arquivo de “hosts” do sistema e retirar a lista de endereços falsos inclusos no registro. “O único IP que deve haver ali é o 127.0.0.1. Ã uma norma internacional”, explica Almeida.
O mais preocupante:
Dos 37 maiores desenvolvedores de antivírus apenas 1 reconheceu o arquivo OI.JAR como arquivo malicioso:
https://www.virustotal.com/pt/analisis/3e6dda19000f056528217ce5248929c8
E apenas 5 reconheceram o arquivo ddass.exe como vírus:
https://www.virustotal.com/pt/analisis/062372c67d8d81061aadc12e568eaed6
