9 settembre 2015

L'agosto scorso Doctor Web ha già raccontato di uno di quei trojan abbastanza comuni che installano sul computer diverse applicazioni all'insaputa dell'utente. Il suddetto programma malevolo è lungi dall'essere l'unico installer e adesso ne descriviamo un altro denominato il Trojan.InstallCube.339.

Così come molti altri installer di applicazioni pubblicitarie e indesiderate, il Trojan.InstallCube.339 potrebbe essere scaricato da vari siti di file-sharing e da falsi tracker di torrent appositamente creati dai malfattori per la distribuzione di software malevoli.

La dimensione del Trojan.InstallCube.339 nella forma compressa è di circa 3,5 MB. Dopo la decompressione nella memoria del computer, il trojan riempisce una parte dei dati disponibili nella sua struttura con le informazioni su server di controllo — probabilmente questo è implementato per impedire l'analisi di questo programma malevolo. In seguito il trojan raccoglie le informazioni riguardanti il computer su cui è avviato e visualizza sullo schermo una finestra con l'indicatore di processo di scaricamento.

Dopo aver ricevuto dati dal server di controllo, il Trojan.InstallCube.339 visualizza una finestra di dialogo con le informazioni sull'oggetto che viene scaricato, in particolare la finestra contiene l'icona di un popolare client di torrent mTorrent. È una particolarità dei server di controllo di questo programma malevolo che loro consentono di scaricare il payload solo nel caso se il computer client ha un indirizzo IP russo.

Con un clic del mouse sul link "Settings", che è appena visibile nella parte inferiore della finestra, si può vedere una lista dei programmi supplementari che il trojan installerà sul computer. I flag accanto alle applicazioni nella lista sono inattivi, però possono essere resettati nella modalità "Installazione personalizzata".

Dopo un clic sul pulsante "Salva" nella finestra precedente, inizia il processo del download del file richiesto dall'utente e di tutti i programmi supplementari. Prima di finire il proprio funzionamento, il Trojan.InstallCube.339 si rimuove.

Gli specialisti Doctor Web consigliano nuovamente agli utenti di essere attenti e di non scaricare file da fonti non attendibili. Quando si utilizzano i tracker di torrent, è consigliabile utilizzare i programmi client provati, e sicuramente si dovrebbe installare sui computer un software antivirus attuale.