Первоначально пользователь получает личное сообщение от одного из людей, числящихся в его списке друзей. Сообщение генерируется автоматически и может включать любой из трех заранее составленных мошенниками вариантов текста: «poor lady gaga lol.. nice videos :D», «check out lady gaga. haha!!» или «omg did you see this lady gaga video?», а также ссылку на одну из страниц социальной сети Facebook (всего злоумышленники создали восемь таких страниц). Данная страница содержит интерактивный объект, имитирующий стандартное окно видеопроигрывателя YouTube, однако ролик в нем не воспроизводится: вместо этого на экране демонстрируется предупреждение о том, что эта видеозапись предназначена только для совершеннолетних, а также отображается предложение нажать на кнопку «Continue». По щелчку мышью по этой кнопке в буфер обмена помещается строка, содержащая ссылку на сценарий, написанный на языке JavaScript и размещенный на стороннем сайте. Одновременно с этим в окне браузера воспроизводится короткая анимация, предлагающая жертве поместить курсор мыши в адресную строку браузера и нажать сочетание клавиш Ctrl+V, чтобы скопировать туда содержимое буфера обмена. Примечательно, что перед выполнением этого нехитрого действия злоумышленники предлагают пользователю нажать на клавиатуре клавишу «j», поскольку с целью обхода защиты в буфер копируется неполная строка: «avascript:(a=(b=document).createElement('script')).src=…», сама по себе не несущая какой-либо функциональной нагрузки. Иными словами, добавляя к этой строке символ «j», пользователь превращает ее в команду вызова сценария JavaScript.
Данный скрипт, загружаемый с удаленного сайта, формирует сообщение из заложенных в него разработчиками вариантов и автоматически рассылает его по списку друзей жертвы, используя для этого позаимствованные из файлов cookies учетные данные. После этого пользователь перенаправляется на промежуточную страницу, загружающую еще несколько сценариев JavaScript (один из них выполняет функции счетчика, а второй связан с партнерской программой cpalead.com), а затем — на целевую страницу видеохостинга YouTube. Здесь доверчивой жертве демонстрируется видеоролик с несколькими молодыми людьми в женских париках, изображающими таким незамысловатым образом Леди Гагу. Судя по тому, что число просмотров этого шедевра любительской видеосъемки на сегодняшний день превысило два миллиона, «раскрутка» ролика и являлась основной задачей сетевых жуликов.
Компания «Доктор Веб» вновь призывает пользователей проявлять бдительность и не поддаваться на провокации интернет-мошенников. Тем более не следует пытаться открыть что-либо в окне браузера, поместив перед этим в адресную строку подозрительный код, даже если ссылка на соответствующую страницу была получена от кого-либо из ваших друзей.
