19 dicembre 2012

Doctor Web — società russa di sicurezza informatica — avvisa che si propaga un malware appartenente alla famiglia Trojan.BrowseBan. Questo cavallo di troia blocca l’accesso dal computer compromesso ad alcuni siti web e costringe l’utente ad abbonarsi a vari servizi.

Una volta avviato, Trojan.BrowseBan.480 verifica quali browser siano installati sul computer compromesso, dopodiché salva sul disco moduli in cui sono realizzate le sue funzioni malevole. Per Microsoft Internet Explorer, il modulo dannoso è una libreria dinamica, mentre in caso di Mozilla Firefox, Opera e Google Chrome il trojan utilizza un plugin modificando le impostazioni personalizzate dei programmi.

Di conseguenza, quando l’utente cerca di aprire nel browser determinati siti web, il cavallo di troia modifica la pagina visualizzata e mette sullo schermo una finestra in cui all’utente viene proposto di inserire il suo numero di cellulare e quindi anche un codice ricevuto a questo numero in un SMS. In questo modo, la vittima accetta le condizioni di un abbonamento, il pagamento per il quale verrà addebitato al suo conto di telefonia mobile.

Gli operatori di telefonia mobile più grandi in Russia usano apposite pagine web su cui il cliente che vuole abbonarsi a servizi a pagamento può leggere le informazioni relative. Il cavallo di troia Trojan.BrowseBan.480 sfrutta queste pagine ufficiali degli operatori (per esempio, moipodpiski.ssl.mts.ru e signup.beeline.ru). Lo script malevolo nasconde le informazioni irrilevanti dal punto di vista dei malintenzionati, e alla vittima viene mostrata meramente una finestra di dialogo in cui va inserito un numero telefonico. Per esempio, questa figura rappresenta l’aspetto di una pagina ufficiale di un operatore di telefonia mobile su cui l’utente si abbona a un servizio:

Mentre la figura successiva mostra il modulo fraudolento messo sullo schermo da Trojan.BrowseBan.480:

I malintenzionati hanno creato design individuali del modulo del falso abbonamento che corrispondono a molti siti, per esempio social network VKontakte, Odnoklassniki, Moi mir, Facebook, motori di ricerca, email service Yandex.Pochta, Gmail, Mail.ru e altri siti web popolari. L’abbonamento include servizi forniti da Plastik Media Ltd che sarebbero un presunto accesso al service di anonimizzazione http://4anonimz.ru, ma poiché il trojan nasconde le informazioni al riguardo, la vittima non ne sa nulla.

La definizione di questa minaccia è stata integrata nei database virali di Dr.Web.