14 settembre 2015

La società Doctor Web continua a pubblicare una serie degli articoli dedicati ai trojan che installano applicazioni pubblicitarie e indesiderate. In quest'articolo vi raccontiamo di un successivo programma malevolo di questo genere, inserito nei database sotto il nome del Trojan.RoboInstall.1.

Così come molti altri installatori di vari software di pubblicità e di "partner", il Trojan.RoboInstall.1 si diffonde da siti di file sharing, falsi torrent e altre risorse di Internet simili, create dai malintenzionati. Tali programmi malevoli spesso vengono utilizzati dai programmatori per la monetizzazione di applicazioni gratuite, che ottengono un ricompenso per ogni utility addizionale installata dal trojan sui computer degli utenti. Dopo l'avvio sulla macchina attaccata, il Trojan.RoboInstall.1 controlla le informazioni di configurazione conservate nelle proprie strutture e se sono corrotte o non disponibili, visualizza sullo schermo un messaggio di errore:

L'indirizzo del server di controllo è conservato nelle informazioni di configurazione del Trojan.RoboInstall.1. Su quest'indirizzo il trojan manda una richiesta POST che contiene un vettore di dati nel formato JSON (JavaScript Object Notation), compresso tramite la libreria ZLIB. In cambio, riceve le informazioni sui file eseguibili da scaricare e sulle impostazioni per la visualizzazione dei flag attraverso cui è possibile rifiutare di installarli. È interessante che, a differenza di molti altri installatori di software pubblicitari, nelle finestre visualizzate dal Trojan.RoboInstall.1 tali flag spesso sono non disponibili e l'esecuzione dei file scaricati dal trojan avviene senza alcune condizioni addizionali.

Doctor Web ricorda nuovamente alle lettrici e agli lettori che è necessario essere attenti, evitare di scaricare file eseguibili da risorse Internet poco sicure e utilizzare sui computer software antivirus attuali. La firma antivirale del Trojan.RoboInstall.1 è stata aggiunta ai database dei virus, dunque questo programma malevolo non è un pericolo per gli utenti dell'Antivirus Dr.Web.