set
14
Dopo il linkoptimizer, un altro malware che si finge Google
Author - Filed Under Virus, Trojans & Worms
Vi ricordate i tempi “antichi” quando LinkOptimizer si diffondeva fingendosi www.google.com, un eseguibile di Google Inc? Per non parlare dei tanti siti infetti che si fingono il famoso motore di ricerca!! Bene… sempre sulla stessa linea di pensiero, abbiamo di recente ricevuto un sample molto interessante, che fa di tutto per fingersi una toolbar di Google. Il trojan downloader che dà inizio all’infezione è CTFRMON.EXE; anch’esso tende a farsi confondere col legittimo file Ctfmon.exe relativo al pacchetto Office di Microsoft. Avviato il trojan, si connette al web, per poi scaricare un dialer (temp77726.exe e una libreria dll. La particolarità, è che questa libreria (googletoolbar1.dll) viene poi registrata come BHO (Browser Helper Object) con la stessa CLSID e lo stesso nome utilizzati dalla toolbar legittima di Google! Diviene quindi difficile anche per un occhio esperto riconoscere tra la toolbar legittima e quella infetta, che in alcuni log come quello di hijackthis si presentano alla stessa maniera.
Ecco le chiavi relative a questa finta toolbar
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{2318C2B1-4965-11d4-9B18-009027A5CD4F}
- (Default) –> Google Toolbar Helper
HKEY_CLASSES_ROOT\CLSID\{2318C2B1-4965-11d4-9B18-009027A5CD4F}\InprocServer32
- (Default) –> C:\Programmi\Google\googletoolbar1.dll
Quindi, nel caso che il vostro antivirus vi segnali un’infezione in un file che voi pensate appartenga alla toolbar di Google, prestate attenzione alla cosa! Spesso infatti, ricercando sui forum thread di utenti con tale infezione, la cosa veniva totalmente ignorata.
Maggiori info:
http://www.suspectfile.com/forum/viewtopic.php?t=1542