Home / malwarePDF  

Worm:JS/Pouteriona.A


First posted on 28 August 2012.
Source: Microsoft

Aliases :

There are no other names known for Worm:JS/Pouteriona.A.

Explanation :



Worm:JS/Pouteriona.A is a worm that spreads through the social networking website Facebook. It can gain access to and manipulate your Facebook account, using your account to post links and contact your friends. In some cases, we have seen this worm promoting malicious websites and apps.



Installation

Worm:JS/Pouteriona.A is a JavaScript file that runs when you open a website in which it is stored. Because it is stored in webpages, your Temporary Internet Files folder may contain remnants of it, and your antivirus product may detect this worm over and over again, until you clear your browser cache. To clear your Internet Explorer cache, refer to the Recovery section.

Spreads via...

Websites and apps

Worm:JS/Pouteriona.A may be spread via links shared through Facebook. The link is to a website containing this script. It may also spread as a Facebook app.

In the wild, we have seen this worm spreading as an app that claims to remove the Facebook Timeline feature.

Once Worm:JS/Pouteriona.A gains access to your Facebook account (as explained in the Payload section), it can also post links to itself in the form of status updates and wall posts to your friends, increasing the likelihood that your friends will click on the link and infect their computers.

It has been known to use the following titles for its posts:

  • "Arkadaslar size sir vereyim zaman tünelinden kurtulmanin yolunu buldum. http://zamantuneliptal.netii.net linke tiklayin. :"
  • "Arkadaslar size sir vereyim zaman tünelinden kurtulmanin yolunu buldum. http://zamantuneliptal.netii.net/ linke tiklayin :"
  • "Bedava Abone Kasiyorum Superr bisey mutlaka deneyin chrome kullanlar Uygulama.<3....>"
  • "Bedava Abone Kasiyorum Superr bisey mutlaka deneyin chrome kullanlar Uygulama.<3....Bosluklari Sil =>"
  • "Facebook Zaman Tunelinden Kurtulun,Abonenizi Cogaltin Superr Uygulama.<3.....:"
  • "Facebook Zaman Tunelinden Kurtulun,Abonenizi Cogaltin Superr Uygulama.<3.....> "
  • "Facebook Zaman Tunelinden Kurtulun,Abonenizi Cogaltin Superr Uygulama.<3.....Bosluklari Sil => "
  • "Helal olsun eski profil gibisi yok »» <3:"
  • "Helal olsun valla eski profil gibisi yok »» <3 Bosluklari Sil "
  • "Helal olsun valla eski profil gibisi yok »» <3><3>"
  • "Hem Zaman Tunelinden Cikmak Hemde Abone Kasmak Için Süper Uygulama Her Dakika Artiyor. Bosluklari Sil "
  • "Hemen simdi zaman tünelinden kurtulun ! :"
  • "Hemen simdi zaman tünelini kaldirin. !! :"
  • "Oh be yaaaa zaman tünelinden kurtuldum hemde abone kasiyorum superr »» <3 Bosluklari Sil => "
  • "Oh be zaman tünelinden kurtuldum süperr »» <3"
  • "Tikla saniyeler içinde zaman tünelinden kurtul ! :"
  • "Zaman tnelinden kurtulmak iin hemen t1kla ! :"
  • "Zaman Tunelinden Kurtuldum Superr Uygulama.<3....:"
  • "Zaman Tunelinden Kurtulun Superr Uygulama.<3..:"


It has been known to use the following text for Facebook messages:

  • "Abone Kasma Sistemi Dediler Inanmadim Denedim Suan Abonem Hizla Artiyor Deneyin »» <3> "
  • "Abone Kasmak Isteyenler Için Superr Uygulama.<3 boslugu sil siteyi gir .. => "
  • "Abone Kasmak Isteyenler Için Superr Uygulama.<3..> "
  • "Arkadaslar size sir vereyim zaman http://zamantuneliptal.netii.net tünelinden kurtulmanin yolunu buldum. linke tiklayin ve söylenenleri yapin kesin kurtulacaksiniz :"
  • "Arkadaslar size sir vereyim zaman http://zamantuneliptal.netii.net tünelinden kurtulmanin yolunu buldum. linke tiklayin ve söylenenleri yapin kesin kurtulacaksiniz+ :"
  • "Arkadaslar size sir vereyim zaman tünelinden http://zamantuneliptal.netii.net kurtulmanin yolunu buldum. linke tiklayin ve söylenenleri yapin kesin kurtulacaksiniz_ :"
  • "Arkadaslar size sir vereyim zaman tünelinden kurtulmanin http://zamantuneliptal.netii.net yolunu buldum. linke tiklayin ve söylenenleri yapin kesin kurtulacaksiniz- :"
  • "Arkadaslar size sir vereyim zaman tünelinden kurtulmanin yolunu buldum. linke tiklayin ve söylenenleri yapin kesin kurtulacaksiniz* :"
  • "Facebook Zaman Tunelinden Kurtulun,Abonenizi Cogaltin Superr Uygulama.<3.....:"
  • "Facebook Zaman Tunelinden Kurtulun,Abonenizi Cogaltin Superr Uygulama.<3.....> "
  • "Facebook Zaman Tunelinden Kurtulun,Abonenizi Cogaltin Superr Uygulama.<3.....Bosluklari Sil => "
  • "Helal olsun eski profil gibisi yok »» <3:"
  • "Oh be zaman tünelinden kurtuldum süperr »» <3"
  • "Oh beBedava Abone Arttirma Buldum superr »» <3> "
  • "Oh beBedava Abone Arttirma Buldum superr »» boslugu sil siteyi gir <3 => "
  • "Ucretsiz Olarak Abone Kasmak Isteyenler Için Bedava Uygulama => "
  • "Ucretsiz Olarak Abone Kasmak Isteyenler Için Bedava Uygulama boslugu sil siteyi gir => "
  • "Zaman tnelinden kurtulmak hi bu kadar kolay olmam1_t1 hemen t1kla sende kurtul ! :"
  • "Zaman Tunelinden Ciktim Uygulamayi Kurdum,Abonede Kasmaya Basladi »» <3 Bosluklari Sil => "
  • "Zaman Tunelinden Kurtuldum Superr Uygulama.<3....:"
  • "Zaman Tunelinden Kurtulun Superr Uygulama.<3..:"


It has been known to link to the following websites:

  • facebookofking.tk
  • gencayboran.tr.gg
  • timelineover.tr.gg
  • www.timelineclose.com
  • zamantuneliptal.netii.net


It has been known to make the following comments on either your account or your friends':

  • "Abone Kasmada bir Numara Olan bu eklenti sayesinde chrome kullanlar dalin iceri Bosluklari Sil "
  • "Arkadaslar size sir vereyim zaman tünelinden kurtulmanin yolunu buldum. linke tiklayin ! http://zamantuneliptal.netii.net :"
  • "Arkadaslar size sir vereyim zaman tünelinden kurtulmanin yolunu buldum. linke tiklayin !!! http://zamantuneliptal.netii.net :"
  • "Arkadaslar size sir vereyim zaman tünelinden kurtulmanin yolunu buldum. linke tiklayin http://zamantuneliptal.netii.net !! :"
  • "Arkadaslar size sir vereyim zaman tünelinden kurtulmanin yolunu buldum. linke tiklayinsende kurtul http://zamantuneliptal.netii.net !! :"
  • "Facebook Zaman Tunelinden Kurtulun,Abonenizi Cogaltin Superr Uygulama.<3 Bosluklari Sil "
  • "Facebook Zaman Tunelinden Kurtulun,Abonenizi Cogaltin Superr Uygulama.<3 Bosluklari Sil "
  • "Facebook Zaman Tunelinden Kurtulun,Abonenizi Cogaltin Superr Uygulama.<3! :"
  • "Facebook Zaman Tunelinden Kurtulun,Abonenizi Cogaltin Superr Uygulama.<3><3> Eklentiyi Sadece Google Chrome Sahipleri Indirebilir."
  • "Google chrome eklentisi ile zaman tunelinden ben ciktim sizde cikin ve herkeste gorunuyoo Bosluklari Sil "
  • "Zaman tunelinden kurtulmak hic bu kadar kolay olmamisti hemen tikla sende Bosluklari Sil "






Payload

Gains access to your Facebook account

If you have browser cookies enabled, Worm:JS/Pouteriona.A uses your stored Facebook cookies to get access to your account.

Performs Facebook actions

We have seen samples of Worm:JS/Pouteriona.A that have the following functionality, using your account:

  • Like - this function allows an attacker to add a target Facebook ID to your account's Likes
  • Subscribe - this function allows an attacker to subscribe you to other users and groups
  • Friend requests - this function allows an attacker to send friend requests to anyone on Facebook
  • Add to groups - this function allows an attacker to add you to any possible group
  • Remove friends - this function allows an attacker to remove any of your existing friends
  • Unlike pages - this function allows an attacker to unlike pages that you currently like
  • Collect friends - this function allows an attacker to collect the Facebook IDs of all of your friends
  • Post on Walls - this function allows an attacker to post on your and your friends' Walls and make comments on you and your friends' accounts




Analysis by Michael Johnson

Last update 28 August 2012

 

TOP

Malware :

Family: