le 19 mars 2013

Doctor Web a constaté la hausse de la propagation de publiciels ciblant les ordinateurs sous Mac OS X depuis le début de l'année. Le Trojan.Yontoo.1 est un downloader qui installe sur l'ordinateur contaminé un plug-in pour les navigateur les plus utilisés qui affiche des publicités pendant le surfing sur Internet.

Depuis le début de l’année 2013, les spécialistes de Doctor Web constatent la croissance de publiciels ciblant différentes plateformes, y compris Mac OS X. Les malfaiteurs gagnent de l'argent sur les programmes partenaires des réseaux publicitaires. L'un des malwares de ce type a été détecté récemment. C'est le Trojan.Yontoo.1.

Ce Trojan utilise différents moyens pour pénétrer l'ordinateur de la victime. Par exemple, les pirates ont crée des pages web avec des annonces de films afin de distribuer le Trojan. Une fois ouverte, une fenêtre, proposant d'installer un plug-in pour le navigateur, apparaît en haut de la page. En réalité, cette fenêtre, créée pour tromper les utilisateurs, imite les fenêtres classiques d’installation. Ayant cliqué sur l'option " Installer le plug-in ", l'utilisateur est redirigé vers le site afin de télécharger l'application, détecté par l'antivirus Doctor Web comme Trojan.Yontoo.1.

Les pirates ont inventé d'autres moyens pour propager ce Trojan. Par exemple, une victime peut télécharger le Trojan sous forme d’un lecteur multimédia, d’un programme pour améliorer la qualité de la vidéo, d’un programme " accélérant " le téléchargement de fichiers, etc.

Après le lancement, le Trojan.Yontoo.1 affiche une fenêtre qui propose d'installer l'application Free Twit Tube.

Si l'utilisateur clique sur le bouton " Continue ", au lieu du programme prévu, le Trojan télécharge et installe le plug-in spécial Yontoo pour les navigateurs Safari, Chrome et Firefox, utilisés souvent sur les ordinateurs sous Mac OS X. Ce plug-in transmet les données concernant les sites visités par l'utilisateur.

En échange, le plug-in reçoit un fichier spécial qui embarque dans les pages téléchargées par l'utilisateur les publicités, provenant de programmes partenaires. Voici l'exemple du site apple.com sur un ordinateur infecté :

Ce type d’extensions pour les navigateurs sont détectées par les antivirus comme Adware.Plugin. Il faut souligner qu'il existe le même schéma afin d'infecter les ordinateurs sous Windows OS.