15 gennaio 2013

Doctor Web — azienda russa della sicurezza informatica — informa gli utenti della propagazione di un malware, chiamato BackDoor.Finder, che può sostituire le query digitate nei motori di ricerca e reindirizzare i browser verso siti fraudolenti.

Una volta avviato nel sistema infetto, BackDoor.Finder crea una sua copia nella cartella %APPDATA% dell’utente corrente e modifica in modo opportuno il ramo del registro di Windows incaricato dell’esecuzione automatica delle applicazioni. Poi il trojan si integra in tutti i processi in esecuzione. Se il trojan riesce a integrarsi nei processi dei browser Microsoft Internet Explorer, Mozilla Firefox, Maxtron, Chrome, Safari, Mozilla, Opera, Netscape o Avant, esso intercetta le funzioni WSPSend, WSPRecv e WSPCloseSocket.

In seguito BackDoor.Finder genera fino a 20 nomi di dominio da utilizzare come server di controllo e li interroga in serie inviando una query cifrata. Se l’utente della macchina infetta cerca di usare google.com, bing.com, yahoo.com, ask.com, search.aol.com, search.icq.com, search.xxx, www.wiki.com, www.alexa.com o yandex.com, la stringa di ricerca si trasmette al server di controllo e per risposta si riceve un file di configurazione che contiene una lista degli indirizzi dei siti web a cui verrà reindirizzato il browser. Come risultato, invece della pagina dei risultati del motore di ricerca, si visualizzano i siti web indicati dai truffatori.

Siccome il team di Doctor Web ha potuto identificare l’algoritmo di generazione di nomi di dominio utilizzato da BackDoor.Finder, alcuni server di controllo sono stati registrati al fine di raccogliere dati statistici. Si è costatato che questo malware è diffuso soprattutto negli Stati Uniti. La percentuale di casi di infezione è diversa per lo stato, per esempio Kansas è il capoclassifica, New Jersey sta al secondo posto, mentre Ohio e Alabama condividono la terza posizione. Il numero di presenze di BackDoor.Finder è il minore in Utah e Michigan.

La definizione del malware è stata aggiunta ai database virali dei programmi Dr.Web, quindi gli unenti dell’antivirus sono protetti da queste attività maligne.