«Заражающие» мемы на первый взгляд представляют собой обычные картинки за одним исключением. Код их файла содержит встроенную команду, которая активируется удаленно после того, как файл был загружен на ваш ПК после просмотра зараженного твита. Следует заметить, что вредоносная программа не загружается из самого Twitter. Социальная сеть выступает лишь как временное хранилище для команды на скачивание.
Анализ кода вредоносной программы
Скриншот зараженного аккаунта в Twitter
После попадания на компьютер, программа начинает действовать, как троян и скачивает данные с сервиса Pastebin. После этого вирус начинает считывать код из мема и выполнять все команды, начинающиеся со знака «/», отсылая данные преступникам. Как выяснила компания Trend Micro в ходе расследования, авторы вредоносных программ опубликовали два твита с вредоносными мемами 25 и 26 октября через учетную запись Twitter, созданную в 2017 году. В этих файлах обнаружились команды «/print» для снятия скриншота экрана, «/processos» -данные о запущенных процессах, «/clip» — информация о буфере обмена, «/username» — данные об учетной записи,«/docs» — сведения об именах файлов в определенной директории.