24 ottobre 2012

Doctor Web informa che nei giorni recenti, a partire dal 22 ottobre 2012, si è diffuso su larga scala lo spam malevolo camuffato da messaggi inviati dal popolare negozio online Amazon.com. Questi messaggi contraffatti invitano l’utente a scaricare una licenza di Microsoft Windows, e se l’utente clicca sul relativo collegamento, il suo computer viene infettato da due programmi malevoli alla volta (Trojan.Necurs.97 e BackDoor.Andromeda.22) che seguendo un ordine impartito dai malintenzionati in qualsiasi momento potrebbero scaricare sul computer altri virus.

A partire dal 22 ottobre 2012, molti utenti di Internet ricevono messaggi di posta elettronica che indicano come mittente il popolare negozio online Amazon.com. Nell’oggetto dei messaggi è scritto: Order N [numero casuale], mentre il messaggio stesso dice:

“Hello,

You can download your Microsoft Windows License here.

Microsoft Corporation”

Ogni messaggio contiene un collegamento che conduce a una pagina web integrata con uno scenario il quale, se eseguito, reindirizza il visitatore a un altro sito. Questo sito trasferisce al browser un file che contiene uno scenario in JavaScript, con l’esecuzione del quale sul computer si scaricano due programmi malevoli, cioè il downloader ben conosciuto BackDoor.Andromeda.22 e il malware Trojan.Necurs.97.

Trojan.Necurs.97 ha la capacità di riprodursi e può infettare supporti rimovibili del computer e cartelle condivise di reti locali. Una volta avviato sul computer, il trojan crea un file eseguibile in una cartella separata e modifica il registro di sistema affinché questo file eseguibile si avvii in modo automatico durante il caricamento di Windows. Quindi Trojan.Necurs.97 cerca nella memoria processi in esecuzione dei browser Internet Explorer e Mozilla Firefox e se li trova, vi inserisce il suo codice. Infettando supporti rimovibili, disponibili nel sistema, il trojan salva la sua copia sul dispositivo sotto un nome casuale e crea nella cartella radice il file autorun.inf per avviarsi in modo automatico ogni volta che il dispositivo viene collegato.

Trojan.Necurs.97 stabilisce una connessione con i server remoti dei malintenzionati, comunica la sua installazione e aspetta ulteriori comandi, tra cui potrebbero essere il comando di scaricare sul computer infetto diversi programmi e il comando di trasferire file sul server remoto dal computer locale.

Il team di Doctor Web consiglia di stare attenti e di evitare di usare collegamenti ipertestuali inclusi nei messaggi che arrivano da fonti sconosciute.