Se ha detectado un gusano de Twitter que se expande rápidamente y que usa el servicio de redirección de goo.gl de Google para impulsar los usuarios incautos a una notoria campaña de scareware (falso anti-virus).

A las 8:45 am (Tiempo del Este) del dí­a de hoy, esta búsqueda en Twitter muestra los miles de mensajes dejados en este servicio que continúan expandiendo el gusano.

De acuerdo a los cazadores de malware dan seguimiento aa amenaza, la cadena generada por el gusano encamina a los usuarios a una página Web que sirve el antivirus falso «Security Shield». La página utiliza técnicas de ofuscación que incluyen una aplicación de la criptografí­a RSA en JavaScript para ocultar el código de la página.

El investigador de malware de Kaspersky Lab, Nicolas Brulez, dijo que los enlaces originales de «goo.gl» en los mensajes de Twitter están redirigiendo a los usuarios a dominios diferentes con una página «m28sx.html». Esa página redirige a un dominio estático con una dirección de nivel superior en Ucrania.

Como si no fuera suficiente, este dominio encamina al usuario a otra dirección IP que en el pasado se ha vinculado a las distribuciones de un falso anti-virus. «Esta dirección de IP realizará la redirección final, que conduce al actual sitio del falso antivirus», explicó Brulez.

Una vez que una sesión del navegador del usuario es redirigida al sitio malicioso, un mensaje de advertencia afirma que el equipo está ejecutando aplicaciones sospechosas, y anima al usuario a realizar una exploración. Como es costumbre, el resultado es que la máquina está infectada con diversas amenazas y la estafa consiste en engañar al usuario para que descargue una herramienta de desinfección falsa.