2 agosto 2013

Doctor Web — sviluppatore russo di software per la sicurezza informatica — avvisa della propagazione di un trojan ideato per falsificare il numero di download nell'ambito di un programma di affiliazione (Loadmoney) e per installare applicazioni non volute dall'utente.

I programmi di affiliazione, quali Loadmoney, permettono agli amministratori di varie risorse di guadagnare con i download. Associandosi a un programma di affiliazione, il proprietario di, per esempio, un tracker di torrent deve aggiungere un codice speciale alle sue pagine web. Come risultato, quando un utente cerca di scaricare un torrent, il tracker si connette al server remoto di Loadmoney che genera un programma – downloader il quale viene messo a disposizione dell'utente invece dei contenuti richiesti. Una volta avviato, il downloader scarica il file annunciato sulla pagina web e anche installa diversi software non richiesti, per esempio, una toolbar, un browser o altri programmi connessi a un portale russo popolare, se l'utente distratto non ha disattivato i flag rispettivi nella finestra del downloader. Il partner del programma di affiliazione viene retribuito per ciascun'installazione di tali software.

Il nuovo cavallo di troia, nominato Trojan.LMclicker.1, presumibilmente è stato progettato da un utente di Loadmoney che è anche il proprietario del sito torrentgun.org (o che ha l'accesso di amministratore a questo sito) ai fini di falsificare le statistiche del sito per guadagnare maggiori profitti.

Il trojan imita visite sul sito torrentgun.org, passaggi a sezioni casuali e download di file casuali. Per ingannare il programma di affiliazione e farlo credere che tali attività siano azioni degli utenti, il trojan usa browser diversi. L'applicazione generata in questo modo (classificata da Dr.Web come Trojan.Loadmoney.1) si esegue sul computer vittima e nella finestra del malware si attiva automaticamente il pulsante "Avvia".

Come risultato, sul computer vittima si scaricano e si installano diversi software connessi a un portale russo popolare. La firma antivirale di questo trojan è stata aggiunta ai database di Dr.Web e quindi i computer dei nostri utenti sono protetti da questo malware.