Le 19 août 2014

La distribution de Trojans publicitaires (les logiciels conçus pour afficher des publicités dans le navigateur web) reste l'un des moyens les plus populaires parmi les malfaiteurs pour gagner de l'argent. En Février 2014, Doctor Web a déjà parlé de la diffusion du Trojan publicitaire Trojan.Triosir.1 conçu pour le remplacement des bannières publicitaires en utilisant les technologies d’injection web. Aujourd'hui, nous allons parler d'un autre membre de cette famille de logiciels malveillants.

Il y a quelque temps, les spécialistes de Doctor Web ont découvert le site vkuserspy.net, qui distribuait un Trojan publicitaire sous couvert du logiciel VK User Spy, conçu pour lire les messages dans le réseau social " VKontakte " sans les marquer comme lus. Il est à noter que le plug-in portant le nom VKSpy avec le même objectif existe, mais les malfaiteurs ont réduit ses fonctionnalités et ont ajouté des fonctions malveillantes. Ils n'ont pas supprimé les noms des développeurs du plug-in original. Sur l'image à gauche, vous pouvez voir la page créée pour la promotion du Trojan. L'image à droite représente la page du plug-in original :

Selon les spécialistes de Doctor Web, le logiciel malveillant baptisé Trojan.Triosir.9 a été distribué à partir du mois de mai 2014 depuis le programme partenaire Installmonster, impliqué dans la distribution d'un grand nombre d'autres logiciels malveillants, par exemple Trojan.Triosir.1. Les spécialistes peuvent supposer que ce Trojan a été créé par la société Trioris située à Novosibirsk. Le programme d'installation Installmonster n'installe pas le Trojan.Triosir.9 sur l'ordinateur de la victime s’il détecte la présence d'autres applications de Trioris. Le Trojan possède une liste spéciale de sites et de caractéristiques. Selon ces données, le Trojan.Triosir.9 peut soit afficher soit ne pas afficher la publicité sur certains sites. Le mécanisme de choix des sites sur lesquels la publicité est affichée coïncide avec sa mise en œuvre dans le Trojan.Triosir.1. Mais, contrairement à la version précédente, ce Trojan n'intègre pas un code parasite aux pages web consultées par l'utilisateur, mais l'affiche au dessus de la page consultée. La fenêtre dans laquelle la publicité est affichée possède un bouton spécial pour la fermer, et contient la mention Powered by VkUserSpy.

Malgré le fait que ce plug-in permette de fermer la publicité pop-up, et informe même l'utilisateur quel plug-in du navigateur est responsable de son affichage, les spécialistes de Doctor Web considèrent ce produit de Trioris comme un logiciel malveillant (y compris à cause des " exploits " précédents de ce développeur). La signature du Trojan.Triosir.9 a été ajoutée aux bases virales Dr.Web, c'est pourquoi il ne représente aucun danger pour les utilisateurs des logiciels antivirus Dr.Web.