Een Trojaans paard heeft via een simpele truc in één week tijd zo'n 220.000 Facebookgebruikers weten te infecteren. Het gaat om de Napolar-malware die netwerkverkeer monitort en inloggegevens voor FTP, e-mail en andere websites steelt en andere malware op het systeem installeert.

Daarnaast worden besmette computers gebruikt voor het uitvoeren van DDoS-aanvallen. Napolar werd begin augustus van dit jaar voor het eerst opgemerkt en heeft in de afgelopen zeven weken ruim een half miljoen Windowscomputers geïnfecteerd. In de week van 23 augustus kende het aantal infecties een sterke piek, toen er in zeven dagen tijd 220.000 machines besmet raakten.

Social engineering

De malware verspreidde zich toen via linkjes in Facebookberichten. De linkjes wezen naar een uitvoerbaar bestand, zoals Photo_012-WWW.FACEBOOK.COM.exe, dat op een bestandsuitwisselingssite was opgeslagen. "Hoewel dit een oude en bekende social engineering-truc is, weet het helaas nog steeds een behoorlijk aantal slachtoffers te misleiden", zegt Shawn Wang van het Microsoft Malware Protection Center.

Napolar installeert zich op dezelfde manier als veel andere malware, maar gebruikt ook een user-mode rootkit om de aanwezigheid op het systeem te verbergen. Vanwege de recente activiteit heeft Microsoft tijdens de patchdinsdag van november een update voor de in Windows ingebouwde Malicious Software Removal Tool (MSRT) uitgebracht, die de malware kan identificeren en verwijderen.

Openen

"Napolar is een Trojaans paard dat behoorlijk vervelende dingen kan doen, van het installeren van meer malware tot het stelen van inloggegevens. De social engineering-truc die het gebruikt is simpel, maar werkt. Herinner dat en wees voorzichtig als je uitvoerbare bestanden opent die via sociale netwerken zijn verstuurd. Open het niet als je geen idee hebt wat het is, zelfs als het van je vrienden afkomstig is", aldus Wang.