Hoje recebi um spam muito mais bem feito do que a média, o que me motivou a criar este blog. O objetivo aqui é registrar as observações de quem recebe centenas de spams diariamente praticamente desde que entrei na internet, lá em idos de 1994.
O e-mail chegou com uma aparência bastante convincente, inclusive o nome do remetente fajuto, (os spammers deveriam indenizar todas as pessoas homônimas por dano moral), e trata de um assunto que é do interesse de todos: a prevenção da gripe suína. Veja:
Clique para ampliar a imagemÉ claro que você sabe que não deve clicar em links de e-mails... Não sabe?
Bem, muita gente não sabe. Assim, fui olhar o código-fonte da mensagem:
Clique para ampliar a imagemNo cabeçalho imenso, vemos que o spam foi enviado através de um servidor da
Locaweb. A Locaweb verificou o e-mail por vírus usando o
Clam Antivírus, como se pode ver nestas linhas do cabeçalho:
X-Virus-Scanned: clamav-milter 0.95.1 at hm1707.locaweb.com.br
X-Virus-Status: Clean
X-SPF-Scan-By: smf-spf v2.0.2 - http://smfs.sf.net/
A mensagem apareceu como limpa. Como o spammer conseguiu passar pelo antivírus da Locaweb?
Em primeiro lugar, o URL (isto é, endereço do link) foi codificado e reduzido usando o serviço
Bit.ly, muito conhecido de quem usa o
Twitter. Esse serviço, do mesmo modo que seu também muito conhecido concorrente
TinyURL, oferece a vantagem de reduzir a alguns poucos caracteres endereços longos de páginas web, uma necessidade quando suas comunicações estão limitadas a 140 caracteres. O problema que é esse tipo de URL codificada torna impossível de identificar numa única olhada o endereço original, o que é um prato cheio para spammers.
Para identificar o endereço original, instalei uma extensão no Firefox chamada
Bit.ly Preview, que permite visualizar o endereço original no Firefox, ao passar o mouse sobre o link. Veja:
Clique para ampliar a imagemEntão, nosso spammer teve trabalho... Prevendo a possibilidade de que alguém quisesse conferir o endereço, ele codificou duas vezes o URL, primeiro usando o serviço
URL Split e, em seguida, reduzindo-o a um url curto do Bit.ly. Mas parece que o esforço compensou porque, até o momento em que escrevo estas linhas, o link fajuto já havia recebido mais de 1300 cliques!
Finalmente, resolvi acessar o link. Adivinhe o que aconteceu?
Clique para ampliar a imagemEstá aí, um suspeitíssimo arquivo com extensão .com!
Examinei o arquivo com o antivírus
AVAST! , com as definições de vírus mais recentes mas esse antivírus não foi capaz de detectar qualquer tipo de malware nesse arquivo. Como, obviamente, trata-se de vírus, podemos supor que se trata ou de uma
ameaça de dia zero ou de uma falha no próprio Avast.
Finalmente, enviei o arquivo para análise através do e-mail
virus@avast.com e do
formulário para envio de amostras de vírus da Symantec:
Clique para ampliar a imagemAs lições desse caso são claras:
1 - Não clique em URLs cuja origem não seja visível: links do tinyurl e do bit.ly são furada você não puder visualizar o endereço original!
2 - Se não usa o Firefox, faça esse favor a si mesmo e passe a usá-lo. O download é
aqui!
3 - Se já usa o Firefox, instale extensões para visualizar URLs codificadas.
4 - Não saia clicando em links que recebeu por e-mail só porque ele parece ser mais bem redigido do que a média ou por tratar de um assunto que parece urgente, importante ou atual.
