Facebook Messenger: распознавание и удаление вредоносного ПО

TL;DR

Если в Messenger приходит личное сообщение с вашей меткой имени и словом “Видео” плюс ссылка — не нажимайте. Это распространённая социально-инженерная ловушка, перенаправляющая на поддельные страницы, которые подталкивают к установке рекламного ПО, троянов или расширений. Проверьте расширения браузера, запустите полноценное сканирование антивирусом и удалите лишние приложения в настройках Facebook.

Важно: немедленно прекратите взаимодействие с подозрительной ссылкой, измените пароль Facebook при компрометации и оповестите друзей о возможной рассылке от вашего аккаунта.

facebook-bugs

Коротко: вы, возможно, используете Facebook для общения с друзьями, коллегами и следите за интересами. Но помимо общения платформа привлекает злоумышленников — от проблем с приватностью и спорами о цензуре до активных кампаний по распространению вредоносного ПО через Messenger.

Facebook-мошенничество не ново, однако в последние годы появились кроссплатформенные варианты, ориентированные на пользователей Windows, macOS, Linux и даже мобильных браузеров. В этой статье подробно описано, как распознать типичный приём, какие сайты и файлы могут предлагаться, и как вычистить систему и учётную запись.

Как работает атака на Facebook Messenger

Атакующие используют социальную инженерию: они отправляют сообщение, которое выглядит как личное и содержит ваше имя и пометку ‘Видео’ с эмодзи, чтобы вызвать любопытство. Ссылка ведёт на промежуточный ресурс (часто под видом Google Docs), где показывается намеренно размытое изображение, похожее на видео. При попытке «воспроизвести» изображение вместо видео запускается цепочка перенаправлений, которые определяют ваш User Agent (браузер и ОС) и предлагают загрузить «обновление» или «плагин».

Этот приём эффективен, потому что:

сообщение кажется персонализированным — в нём используется ваше имя;
обещание «видео» вызывает эмоцию и побуждает быстро нажать ссылку;
контент адаптируется к вашей ОС и браузеру, чтобы предложить наиболее подходящий вредоносный пакет.

facebook messenger malware alert

Примеры подмены по браузеру

Firefox на Windows: фальшивое окно обновления Flash, предлагающее EXE-файл.
Chrome: поддельная страница, стилизованная под YouTube, с предложением установить вредоносное расширение Chrome.
Safari на macOS: загрузка DMG-файла с приложением или компонентом, запускающим вредоносный код.
Linux: предложение добавить PPA или установить пакет из стороннего репозитория.

Цель — получить доход от показа рекламы (adware), похитить учётные данные или установить бэкдор/кейлоггер для дальнейшего использования в ботнетах.

Как распознать заражение

Признаки того, что вы могли установить вредоносное ПО после клика по ссылке в Messenger:

внезапные всплывающие рекламные окна в неожиданных местах;
новые расширения в браузере, которые вы не устанавливали;
замедление работы системы, активность диска/процессора без видимых причин;
перенаправления в браузере на незнакомые сайты;
сообщения или действия, отправленные от вашего имени в Facebook без вашего участия.

Если заметили один или несколько признаков — действуйте как можно быстрее.

Пошаговая методика очистки (микро-SOP)

Ниже — компактный набор шагов, который подходит для большинства сценариев заражения, адаптируйте под вашу ОС.

Отключитесь от сети (Wi‑Fi / кабель) чтобы прекратить возможную утечку данных.
Измените пароль Facebook с другого безопасного устройства (например, смартфона с мобильной сетью) и включите двухфакторную аутентификацию.
Сообщите друзьям, что с вашего аккаунта могли разослать вредоносные ссылки; попросите не переходить по ним.
На инфицированном устройстве запустите полное сканирование антивирусом и средствами удаления вредоносного ПО.
Удалите подозрительные расширения и приложения; сбросьте настройки браузера при необходимости.
Проверьте и удалите лишние приложения и авторизованные сайты в настройках Facebook.
При подозрении на системный бэкдор — переустановите ОС или восстановите из надёжной резервной копии.

Удаление шаг за шагом по платформам и браузерам

Google Chrome

Откройте меню → Настройки → Дополнительно → Сброс и очистка → Восстановить настройки по умолчанию. Это отключит все расширения и сбросит настройки.
Перейдите chrome://extensions и вручную удалите незнакомые расширения.
Проверьте список настроенных поисковых систем и домашнюю страницу на предмет подмены.

facebook messenger malware chrome

Этот метод работает на любых ОС.

Firefox

Откройте меню → Дополнения и темы → Расширения. Удалите незнакомые публикации.
Введите about:support и нажмите «Очистить Firefox» для сброса настроек.

Safari (macOS)

Safari → Настройки → Расширения: удалите неизвестные расширения.
Проверьте папки ~/Library/LaunchAgents и /Library/LaunchDaemons на предмет подозрительных plist-файлов; удаляйте только при уверенности.
Удалите недавно загруженные DMG/приложения через Finder → Программы.

Windows

Панель управления → Программы и компоненты: удалите недавно установленные неизвестные программы.
Проверьте Планировщик заданий на автоматические задачи, созданные злоумышленниками.
В случае сомнений — запустите среду восстановления или переустановку ОС только после резервного копирования важных данных.

Linux

Проверьте установленные репозитории и наличие необычных пакетов.
Удалите добавленные PPA и посторонние пакеты через пакетный менеджер.
Проверьте crontab и systemd-юниты на автозапуск подозрительных задач.

Запуск антивируса и инструменты

Используйте проверенное антивредоносное ПО для глубокой проверки. Кроме штатного антивируса, пригодятся:

сканеры вторичного мнения (on-demand scanners);
инструменты для удаления рекламного ПО и очистки браузера;
средства анализа автозапуска (Autoruns на Windows, аналогичные утилиты для macOS/Linux).

Не удаляйте системные файлы по подозрению без резервной копии — это может нарушить работоспособность ОС.

Проверка приложений и сайтов в аккаунте Facebook

Откройте меню Facebook → Настройки → Приложения и сайты.
Просмотрите список активных приложений и сайтов; удалите те, которые вы не узнаёте или больше не используете.
Убедитесь, что доступ у приложений ограничен: снимите разрешения на чтение сообщений и доступ к данным профиля, если они не нужны.

facebook messenger malware app remove

Этот шаг снижает риск повторной компрометации из-за авторизованных сторонних приложений.

Что делать, если заражение продолжается: инцидентный план (runbook)

Соберите сведения: список подозрительных процессов, файлов, расширений, URL-адресов и временные метки.
Изолируйте устройство от сети и других систем.
Выполните полную антивирусную проверку и экспортируйте логи сканера.
При необходимости восстановите систему из резервной копии, созданной до компрометации.
Проанализируйте точку входа (например, конкретную ссылку или приложение) и задокументируйте шаги.
Если в организации — эскалируйте к IT‑безопасности и уведомите соответствующие команды.
После восстановления — проведите мониторинг активности аккаунтов и сетевого трафика.

Критерии приёмки

отсутствуют неизвестные расширения в браузере;
антивирус не находит угроз после полного сканирования;
в Facebook нет неизвестных приложений и активных сессий;
нет неожиданных всплывающих реклам и перенаправлений.

Когда восстановление не нужно или когда защита уже сработала

Примеры, когда атака не успела причинить вред:

вы не загрузили никаких файлов и закрылли ссылку сразу;
браузер предупредил о подозрительной загрузке и блокировал её;
мобильное устройство не позволило установить приложение из неизвестного источника.

Если вы не выполняли загрузки и не устанавливали расширений — скорее всего, вы в безопасности, но всё равно проверьте авторизированные приложения и смените пароль.

Правила предосторожности — простые эвристики

не переходите по личным ссылкам с неожиданными видео;
проверьте отправителя: совпадает ли держащийся контакт с реальным человеком;
наведите курсор на ссылку, чтобы увидеть настоящий URL перед кликом;
держите браузер и ОС в актуальном состоянии; обновления часто закрывают эксплойты;
используйте блокировщики всплывающей рекламы и скриптов (например, uBlock Origin, NoScript) при необходимости.

Риски и способы смягчения

Риск: похищение учётных данных и рассылка спама от вашего имени. Смягчение: двуфакторная аутентификация и регулярная ревизия авторизованных приложений.

Риск: тайный майнинг или ботнет. Смягчение: мониторинг загрузки CPU/Disk и сетевых подключений, быстрое отключение от сети.

Риск: утечка личных данных. Смягчение: удалить связанную с аккаунтом информацию, сообщить банкам при подозрении на компрометацию финансовых данных.

Роли и чек-листы

Для пользователей:

не переходить по сомнительным ссылкам в Messenger;
убрать публикацию аккаунта для гостей — приватность только для друзей;
регулярно проверять список приложений в Facebook;
поддерживать актуальность ОС и браузера.

Для IT-администратора:

развернуть политики блокировки сторонних расширений;
настроить централизованный антивирус и инструменты EDR;
обучать сотрудников распознаванию фишинга;
готовить резервные копии и процедуры восстановления.

Для команды безопасности:

собирать индикаторы компрометации (IOCs);
анализировать образцы вредоносного ПО в песочнице;
обновлять черные списки URL и блокировать инфраструктуру злоумышленников.

Минимальные тест-кейсы после очистки

браузер не перенаправляет на посторонние сайты при загрузке обычных страниц;
нет новых расширений после перезапуска системы;
антивирус не обнаруживает угроз при повторном сканировании;
вход в Facebook проходит нормально и нет активных неизвестных сессий.

Краткая методология расследования

Идентифицировать симптомы и зафиксировать временные метки.
Собрать артефакты: URL, расширения, исполняемые файлы, логи антивируса.
Проанализировать артефакты в изолированной среде.
Оценить объем утечки и степень проникновения.
Устранить угрозу, восстановить систему и провести ремедиацию.

Короткий глоссарий

User Agent: строка, которую браузер отправляет серверу, описывающая браузер и ОС.
Adware: рекламное ПО, показывающее нежелательные объявления.
Троян: вредоносная программа, маскирующаяся под легитимную.
DMG: формат дискового образа на macOS.

FAQ

Как понять, что ссылка в Messenger — мошенническая?

Если сообщение необычное, содержит вашу метку имени и слово «Видео» с ссылкой, а отправитель не сопровождает объяснением — скорее всего это мошенничество.

Можно ли вернуть удалённые файлы после удаления трояна?

Восстановление зависит от того, были ли файлы зашифрованы или удалены навсегда. Если у вас есть резервная копия — восстановление возможно. В противном случае — шансы ограничены.

Нужно ли сообщать в Facebook о мошенничестве?

Да. Отправьте жалобу на сообщение и удалите подозрительные приложения. Это поможет платформе блокировать распространённые кампании.

Достаточно ли сброса браузера для полной очистки?

Сброс браузера устраняет часть угроз, связанных с расширениями и настройками, но не гарантирует удаление системных компонентов (задачи, службы, драйверы). Полное сканирование антивирусом и проверка автозапуска обязательны.

Короткое резюме

Не переходите по неожиданным ссылкам в Messenger.
Если кликнули — изолируйте устройство, смените пароль и запустите антивирус.
Проверьте расширения браузера и удалите неузнаваемые приложения в настройках Facebook.
При сомнениях — восстановите систему из надёжной резервной копии.

Если вы пострадали от этой схемы, опишите в комментарии вашу ОС и браузер, какие шаги вы предприняли и сработал ли антивирус — это поможет другим быстрее реагировать.

flowchart TD
  A[Получено сообщение в Messenger] --> B{Сообщение персонализировано?}
  B -- Да --> C[Переход по ссылке]
  B -- Нет --> Z[Не переходить]
  C --> D{Показано «видео»/размытое изображение}
  D -- Да --> E[Определение User Agent]
  D -- Нет --> Z
  E --> F{Предложена загрузка}
  F -- Да --> G[Если не скачивали: прекратить взаимодействие, сменить пароль]
  F -- Да --> H[Если скачали: отключить сеть, антивирус, удалить приложения]
  F -- Нет --> Z
  H --> I[Проверить Facebook → Приложения и сайты]
  I --> J[Мониторинг и восстановление]

Как распознать и удалить вредоносное ПО через Facebook Messenger