Удаление вредоносного ПО из Facebook Messenger

Кратко: Если вам пришло сообщение с вашим именем, словом «Video», смайликом и ссылкой — не кликайте. Это распространённая схема: ссылка ведёт на поддельный файл, который имитирует видео, а затем предлагает установить вредоносное ПО, адаптированное под ваш браузер и ОС. Следуйте пошаговым инструкциям ниже, чтобы проверить систему и удалить угрозу.

facebook-bugs

Facebook — удобный способ поддерживать связь с друзьями и семьёй. Но он также привлекает злоумышленников. Помимо проблем с конфиденциальностью и спорных модерационных решений, платформа служит каналом для распространения рекламного ПО, троянов и других угроз.

В середине 2017 года появились расширенные варианты вредоносного ПО, которые распространялись через Facebook Messenger. Атакующие использовали социальную инженерию и автоматическое определение браузера, чтобы подсовывать пользователю именно тот установщик, который с большей вероятностью будет запущен.

Почему это кроссплатформенная угроза

Раньше большинство атак были направлены на Windows. Сегодня злоумышленники нацеливаются шире. За минимального дополнительного объёма работы одна и та же схема может подтолкнуть к установке ПО пользователей Windows, macOS, Linux и даже мобильных браузеров.

Ключевой мотив — деньги. Зачем разрушать данные, если можно монетизировать трафик и показы рекламы? Поэтому появилась модель атак, которая прицеливается не в разрушение, а в постоянный доход — рекламные доходы, продажа доступа к взломанным компьютерам или установка шпионских инструментов.

Как злоумышленники нацеливаются на вас

Схема простая и эффективная:

Сообщение в Messenger формируется автоматически и содержит ваше реальное имя. Это сразу увеличивает доверие.
В тексте встречается слово «Video» и смайлик — это служит триггером внимания.
Присылается ссылка, которая обычно ведёт на Google Docs или схожий сервис, где размещено «замыленное» изображение, имитирующее миниатюру видео.
При попытке «воспроизвести» изображение срабатывает скрипт, считывающий ваш User Agent (браузер и ОС), и перенаправляющий на страницу с фишинговым или вредоносным установщиком.

Куда вас перенаправляют

Рекламная часть атаки подстраивается под ваш браузер и ОС:

Firefox на Windows — поддельное окно обновления Flash с EXE-файлом.
Chrome — поддельный сайт в стиле YouTube, который предлагает расширение для воспроизведения видео (на самом деле вредоносное расширение).
Safari на macOS — страница предлагает загрузить DMG-образ с вредоносным инсталлятором.
Linux — предлагается добавить PPA или установить .deb-пакет.

Такие «персонализированные» переходы повышают шансы на успешную установку вреда.

Что случается после установки

Возможные последствия:

Появление нежелательной рекламы (adware) в браузере и вне его.
Установка троянов, кейлоггеров или инструментов удалённого управления.
Включение устройства в ботнет для рассылки спама или майнинга.
Кража сохранённых паролей и сессий, если вредонос умеет считывать профиль браузера.

Даже если видимая проблема — только реклама, это обычно сопровождается установкой дополнительных компонентов, которые могут эскалировать угрозу.

Как распознать вредоносное сообщение в Messenger

Признаки мошеннического сообщения:

Сообщение содержит ваше имя, слово «Video» и смайлик.
Ссылка ведёт на внешний ресурс (чаще всего Google Docs) с «размытым» изображением.
После клика вместо воспроизведения видео появится окно с предложением скачать и установить ПО.
Сайт запрашивает установку расширения или запускаемый файл, который не доступен в официальных магазинах.

Если вы заметили такое — остановитесь. Не вводите пароль, не скачивайте ничего и не разрешайте расширения.

Удаление вредоносного ПО — по шагам

Если вы случайно кликнули и установили сомнительное ПО, действуйте последовательно. Ниже — подробная инструкция по основным браузерам и ОС.

Общее правило перед началом очистки

Отключите устройство от сети (Wi‑Fi/кабель). Это предотвращает дальнейшую коммуникацию вредоноса с управляющими серверами.
Сделайте резервную копию важных данных на внешний носитель, если это возможно безопасно.
По возможности работайте под учётной записью с ограниченными правами, а не под администратором.

Google Chrome

Откройте меню Chrome → Настройки > Дополнительно > Сброс и подтвердите сброс. Это отключит все расширения и восстановит настройки браузера по умолчанию.
Перейдите в chrome://extensions и удалите неизвестные или подозрительные расширения вручную.
Проверьте раздел хранения паролей и автозаполнения — при необходимости сбросьте сохранённые данные и смените пароли.

facebook messenger malware chrome

Эти шаги работают на любой ОС.

Mozilla Firefox

Запустите Firefox в безопасном режиме (можно отключить все дополнения) и просмотрите установленные расширения.
В меню «Дополнения» удалите неизвестные плагины и расширения.
Сброс настроек Firefox восстановит профиль без дополнений.

Safari на macOS

Перейдите в Safari → Настройки → Расширения и удалите подозрительные расширения.
Удалите скачанные DMG-файлы и приложения, которые вы не устанавливали сознательно.
Проверьте раздел Логин объекты и элементы автозапуска в Системных настройках.

Linux

Если вам предложили добавить PPA — удалите его: sudo add-apt-repository –remove
Проверьте список установленного ПО через пакетный менеджер (apt, yum, dnf) и удалите неизвестные пакеты.
Проверьте автозагрузку и системные службы на предмет неизвестных записей.

Запуск антивируса и сканеров

Запустите полное сканирование системы штатным антивирусом (например, Windows Defender в Windows).
Если штатный сканер не находит ничего, используйте дополнительные проверенные сканеры по требованию (on-demand). Они помогают обнаружить adware, трояны и руткиты.
Удалите найденные элементы и повторно перезагрузите систему в обычном режиме.

Важно: некоторые вредоносные модули присутствуют только в профиле браузера. Даже после удаления программы очистите профиль браузера и, при сомнениях, создайте новый профиль.

Проверка приложений и сайтов, связанных с Facebook

facebook messenger malware app remove

Связанные приложения и сайты — частый источник доступа. Проверьте и удалите неиспользуемые подключения:

Откройте меню Facebook → найдите Настройки > Приложения.
Просмотрите список приложений и сайтов, которым вы давали доступ.
Нажмите Удалить или Отключить для всех непонятных или неиспользуемых записей.
При необходимости отозовите токены, смените пароль и включите двухфакторную аутентификацию.

Удаление лишних приложений уменьшает поверхность атаки и предотвращает повторный доступ для злоумышленников.

Профилактика и базовое укрепление безопасности

Ищите уязвимости там, где вы чаще всего подключаетесь:

Ограничьте видимость профиля — публикуйте посты только для друзей.
Включите двухфакторную аутентификацию в Facebook.
Проверяйте активные сессии в настройках безопасности и выходите из неизвестных устройств.
Не устанавливайте расширения и программы из ненадёжных источников.
Всегда обновляйте браузер и ОС до последних версий.
Отключите устаревшие плагины вроде Flash.
Используйте менеджер паролей и уникальные пароли для разных сервисов.
Делайте регулярные резервные копии важных данных.

Инцидент: пошаговый план реагирования

Контainment (локализация): отключите устройство от сети.
Сбор данных: снимите список установленных приложений, расширений и запущенных процессов. Сохраните логи браузера и системные логи.
Очистка: удалите расширения, деинсталлируйте подозрительные программы, запустите антивирус и выполните полное сканирование.
Восстановление: смените пароли, отзовите токены, восстановите резервные копии если нужно.
Мониторинг: следите за необычной активностью в аккаунтах и банковских операциях.
Сообщение: при признаках утечки личных данных подумайте о уведомлении пострадавших и, при необходимости, регуляторов.

Критерии приёмки

Браузер не содержит неизвестных расширений.
Полный антивирусный скан не выявил угроз.
Нет незнакомых записей автозагрузки.
Аккаунт Facebook защищён новой парой логин/пароль и двумя факторами.

Чек-листы по ролям

Пользователь:

Не открывать сомнительные ссылки в Messenger.
Удалить неизвестные расширения в браузере.
Сменить пароли и включить 2FA.
Проверить связанные приложения в Facebook и удалить лишние.

ИТ-администратор:

Изолировать заражённое устройство из сети.
Снять образ диска для форензики, если необходимо.
Проверить и очистить корпоративные прокси и DNS на предмет перенаправлений.
Обновить корпоративные политики по установке расширений и ПО.

Тесты и критерии приёмки

Тест 1: При запуске браузера не загружаются сторонние расширения.
Тест 2: При полном сканировании антивирус возвращает «чисто».
Тест 3: После смены пароля и 2FA сессии на неизвестных устройствах закрыты.

Если хотя бы один тест провален — продолжайте расследование.

Когда стандартные меры не помогают

Сценарии, при которых базовая инструкция может не сработать:

Вредонос установил драйверы или системные службы на уровне ядра.
Компрометация учётной записи в облаке привела к распространению конфигурационного файла.
Атакующие получили доступ к вашему роутеру и настраивают DNS-перенаправления.

Альтернативные подходы в таких случаях:

Создание образа диска и проведение форензики специалистами.
Переустановка ОС с форматированием системного раздела.
Сброс роутера к заводским настройкам и повторная настройка сети.

Короткий глоссарий

User Agent — строка, которую браузер отправляет серверу, сообщая ОС и версию браузера.
PPA — неофициальный репозиторий пакетов в Linux.
DMG — образ диска для macOS.
EXE — исполняемый файл Windows.
Троян — вредоносная программа, маскирующаяся под легитимное ПО.
Adware — программа, показывающая нежелательную рекламу.

Социальная превью и короткое объявление

OG-title: Удаление вреда из Facebook Messenger OG-description: Инструкция по распознаванию, удалению и предотвращению кроссплатформенных атак через Facebook Messenger.

Короткое объявление (100–200 слов): Если вам пришло подозрительное сообщение в Facebook Messenger с вашим именем и ссылкой на «видео», скорее всего это попытка установить вредоносное ПО. Атака использует ваш браузер и систему, чтобы предложить именно тот установщик, который вы с наибольшей вероятностью запустите — EXE для Windows, DMG для macOS, PPA для Linux или вредоносное расширение для Chrome. Не кликайте, отключитесь от сети и выполните очистку по инструкции. Проверьте расширения, удалите подозрительные приложения, запустите полное сканирование антивирусом и отозовите доступы в настройках Facebook. При сложных инцидентах обратитесь к специалисту по цифровой безопасности.

Краткое резюме

Сообщения с текстом «Video» и ссылками часто являются ловушкой.
Мошенники подстраивают установщики под ваш браузер и ОС.
Остановка распространения и последовательная очистка — ключ к восстановлению.
Меняйте пароли, включайте двухфакторную аутентификацию и проверяйте связанные приложения.

Часто задаваемые вопросы

Как узнать, что вредонос действительно установился?

Если вы видите неожиданные рекламные окна, новые расширения в браузере, необычную нагрузку на процессор или сетевой трафик — это признаки возможной инфекции.

Нужно ли переустанавливать ОС?

Переустановка рекомендована, если вредонос получил доступ на уровне ядра, появились неизвестные драйверы или после тщательной очистки остаются сомнения в безопасности.

Что делать, если злоумышленник получил доступ к моему Facebook аккаунту?

Смените пароль, включите двухфакторную аутентификацию, отозовите все сторонние приложения и проверьте активные сессии.

Куда сообщать о мошенничестве?

Сообщайте о мошеннических страницах и аккаунтах в службу поддержки Facebook и, при необходимости, в соответствующие правоохранительные органы.

Как обнаружить и удалить вредоносное ПО, распространяемое через Facebook Messenger