Redirections vers fausses pages Youtube depuis Facebook

[Coye]

Bonjour,


Sur la plateforme Facebook on vous propose de visionner l'accident du grand Chef cuisinier Philippe Etchebest

http://promglen.com/carmo/?id=1441577511

Sur ce lien, il y a une fausse vidéo.

Message lu sur la page du Chef cuisinier https://www.facebook.com/OfficielPhilip ... cation=ufi , je cite :

"Bonsoir chef,

Je viens vous avertir qu'un lien virale circule en ce moment sur Facebook, ce lien utilise votre image pour contaminer les internautes, vous devriez contacter les administrateurs de Facebook pour y mettre fin !

Le principe du fake virale en question est simple, une fausse vidéo circule avec comme titre ( vidéo du terrible accident du grand chef Philippe Etchbest) avec une mise en page style youtube mais si les gens cliquent dessus, ils atteriront sur des sites pornographique, et seront contaminé par des virus et chevaux de Troie !

Mon devoir était de vous avertir.

Bonne continuation à vous (un ancien chef pâtissier belge, mais toujours passionné ;-))"

Certains pensent que ce virus est un Keylogger, qu'en pensez-vous ?
Si des internautes clic sur la vidéo, quels sont les risques encouru pour leurs machines ?

Le site qui héberge la vidéo piégée est promglen.com ...

La seule chose que je sais, c'est que si vous cliquez sur le site qui héberge la vidéo piège, et que vous ne touchez à rien pendant au moins 20 secondes, le site va disparaître, et vous allez voir apparaître à la place du site une petite fenêtre blanche qui vous dit que vous avez gagné un lot (I-Phone en l'occurence) sur tel site, on vous propose de cliquer sur "OK", mais évidement, vous allez cliquer sur une croix pour quitter la fenêtre, et là elle vous envoie normalement sur un site de vente de mobile ...

Questions :

C'est un site qui envoie de la pub ?
Quel est le but de ce site ?

Une recherche sur Google et ça donne :

"Rewards Center
http://www.promglen .com
FÉLICITATIONS ! Vous avez été choisis au hasard pour tester le tout nouveau iPhone (arrivée 2016) ! Ce n'est pas une blague ! Nous vous invitons à tester ..."

Merci à vous pour vos réponses !



Cordialement

[Malekal_morte]

Salut,

Merci pour l'info, ce n'est pas un Virus Facebook classique qui demande d'installer une extension ou autre.

Simplement, un page vidéo qui redirige vers une fausse page Youtube, qui demande à partager la vidéo et qui conduit à une publicité. Les auteurs de cette page gagneront de l'argent avec la publicité et vont générer du traffic à partir des partages Facebook. Ici le but est donc de faire du buzz, pour cela, soit faire des vidéos un peu débiles/rigolotes (comme cela a été le cas avec "le virus facebook araignée", soit annoncer une terrible nouvelle, ici la mort du cuisinier :

VIIDEO CHOC - Terrible accident de voiture du grand chef Philippe Etchebest

La fausse page promglen.com qui reprend un peu la charte Youtube.
Tu cliques, ça demande de partager la photo :



puis la publicité se déclenche :





Les pages visitées :



Ce n'est pas leur coup d'essai, sur la même IP, on trouve plein de domaines.
Certaines conduises à de fausses pages de vidéo et des liens vers les publicités :

Code : Tout sélectionner

2015-09-08 05:31:21 http://fb.appleiphone7.tv/
2015-09-04 00:37:52 http://gta5ligne.com/
2015-09-03 10:58:09 http://linternaute.co/
2015-09-01 03:54:22 http://www.coc-mark.com/
2015-08-31 10:50:17 http://onaa1nnjth.coc-mark.com/
2015-08-24 07:30:26 http://coc-mark.com/
2015-08-23 22:32:33 http://fifa15sports.com/dopmek/
2015-08-17 14:17:47 http://dailynewfacts.com/
2015-08-12 02:29:51 http://brapantieslingeriemalaysia.com/
2015-08-08 18:26:53 http://disney-prime.com/20vod/?a=1437480269
2015-08-08 08:42:44 http://gta5ligne.com/spinda
2015-08-08 05:56:08 http://coc-mark.com/karto/
2015-08-08 01:50:00 http://coc-mark.com/karto
2015-07-12 10:50:07 http://top-clash.com/
2015-07-10 10:40:15 http://mensinunderwear.com/
2015-07-03 09:22:51 http://juvjihcdqb.disney-prime.com/
2015-07-03 07:17:47 http://disney-prime.com/mack/?id=1435857771

A noter cette page, ce sujet sur commentcamarche.net où là on est plus dans le Virus Facebook, cela conduit à une page Youtube qui demande d'installer une extension. Celle-ci postera probablement automatiquement des liens sur le mur Facebook.

Code : Tout sélectionner

http://akamai.blob.core.windows.net/174879642/414055744.html
http://yonlendiriliyorsunuz.com/mobiltok.php?
http://pvpkur.net/gi.php?access

[Coye]

Ce n'est pas leur coup d'essai, sur la même IP, on trouve plein de domaines.

Comment tu as pu avoir accès à l'adresse IP alors que tu n'es pas Admin du site en question ?

La seule chose que je sais, c'est quand on est Admin d'un forum on a l'adresse IP du contributeur, mais là toi, tu as réussi à avoir l'adresse IP d'un site que tu as visité ... c'est bien ça ? Je me trompe ?

Merci

[Malekal_morte]

Tu as forcément l'adresse IP du site que tu visites sinon tu ne pourrais t'y connecter.
Ton navigateur WEB effectue une résolution DNS (adresse littérale => adresse IP) pour récupérer l'adresse IP et s'y connecter, c'est d'ailleurs là dessus que je joue le filtrage DNS et que des sites comme piratebay soient bloqués par les serveurs DNS des FAI.
Au lieu de renvoyer l'adresse IP du serveur de piratebay, cela renvoye l'adresse du serveur de blocage du gouvernement.

Tu peux t'amuser à essayer de résoudre des adresses avec la commande nslookup sur Windows.
En invite de commande nslookup :

Code : Tout sélectionner

nslookup www.malekal.com

te donnera l'adresse IP du serveur malekal qui est chez OVH.

Pour ce qui est des autres adresses, elles proviennent de virustotal.

[Coye]

Oui j'ai bien vu l'adresse IP du serveur malekal qui est chez OVH.
Merci pour les explications.