Le 7 septembre 2012

Doctor Web annonce un nouveau danger pour les systèmes de e-banking russes. Le trojan modifie les configurations des navigateurs afin que le trafic utilisateur soit envoyé au serveur des pirates, qui accèdent ainsi à des informations importantes.

Le programme malveillant Trojan.Proxy.23968, dont les signatures ont également été ajoutées aux bases Dr.Web sous le nom Trojan.Carberp.450 fin août 2012, a été créé pour installer un serveur proxy dans le système infecté afin d’intercepter les informations transmises lors des communications des utilisateurs avec un certain nombre de banques russes en ligne.

Une fois lancé sur le PC, le trojan modifie les paramètres de connexion Internet et y inscrit un lien sur le scénario des configurations automatiques des navigateurs : selon le scénario créé par le trojan, le navigateur télécharge un fichier sur le PC, qui force la connexion Internet de l'utilisateur à passer par le serveur proxy des pirates. Le serveur proxy redirige à son tour l'utilisateur sur une fausse page de e-banking qui lui demande d'entrer son nom d'utilisateur et son mot de passe.

Le système de e-banking d'une des premières banques russes à avoir été attaquée utilise le protocole HTTPS. Pour cacher la connexion avec un faux serveur bancaire, le trojan installe dans le système un certificat spécial avec une signature. Ainsi, la page de e-banking ouverte par l'utilisateur piégé possède une adresse URL vraisemblable, l’interface est identique à la vrai page et la connexion reste protégée par le protocole HTTPS. Les spécialistes de Doctor Web ont vu le trojan installer d’autres certificats pour pouvoir cibler d’autres banques.

Il est important de noter que même après la suppression du Trojan.Proxy.23968 de l’OS, les configurations des navigateurs restent modifiées et que l’utilisateur peut rester victime des pirates. Si votre antivirus a détecté le Trojan.Proxy.23968, Doctor Web conseille d’analyser en plus le PC avec l’utilitaire de traitement Dr.Web CureIt! qui prévoit un mécanisme de traitement des conséquences de l’action du trojan, et de vérifier vous-même les configurations de vos navigateurs Internet.