23 marzo 2018

Doctor Web mette in guardia dalla diffusione di un pericoloso trojan che ruba file ed altre informazioni confidenziali dal dispositivo infetto. La fuga di questi dati può portare alla possibilità per i malintenzionati di ottenere l'accesso agli account della vittima nei social network e in altri servizi online.

Il programma malevolo, denominato Trojan.PWS.Stealer.23012, è scritto nel linguaggio Python ed infetta computer con Microsoft Windows. La diffusione del trojan è iniziata attorno all'11 marzo 2018 e continua fino ad oggi. I malintenzionati pubblicano link al programma malevolo nei commenti ai video sulla popolare risorsa internet YouTube. Molti di questi filmati sono dedicati all'uso di metodi fraudolenti per ottenere privilegi nei videogiochi (i cosiddetti "cheat" o trucchi) utilizzando applicazioni specifiche. I criminali informatici cercano di far passare il trojan per tali applicazioni e per altre utility pratiche. I link conducono sui server Yandex.Disk. Per convincere un visitatore del sito a cliccare sul link, sulle pagine dei filmati vengono pubblicati commenti che chiaramente sono stati scritti da account falsi. Nel tentativo di passaggio a tale link, la potenziale vittima scarica sul suo computer un archivio RAR autoestraente che contiene il trojan.

Il trojan, dopo essersi avviato sul computer infetto, raccoglie le seguenti informazioni:

• file Cookies dei browser Vivaldi, Chrome, Yandex.Browser, Opera, Kometa, Orbitum, Dragon, Amigo, Torch;
• login/password salvati in questi browser;
• screenshot.

Inoltre, copia dal Desktop di Windows i file con le estensioni ".txt", ".pdf", ".jpg", ".png", ".xls", ".doc", ".docx", ".sqlite", ".db", ".sqlite3", ".bak", ".sql", ".xml".

Trojan.PWS.Stealer.23012 salva tutti i dati ottenuti nella cartella C:/PG148892HQ8. Quindi li comprime in un archivio con il nome spam.zip il quale, insieme alle informazioni sulla posizione del dispositivo infetto, viene inviato sul server dei malintenzionati.

Gli analisti dei virus Doctor Web hanno trovato diversi campioni di questo trojan. L'antivirus rileva una parte di loro sotto il nome di Trojan.PWS.Stealer.23198. Tutte le varianti conosciute di questo programma malevolo vengono rilevate con successo dall'antivirus Dr.Web, perciò loro non rappresentano alcun rischio per i nostri utenti.

Informazioni sul trojan