Le 24 octobre 2012

Doctor Web informe les utilisateurs d’une diffusion importante de spam usurpant le nom de la boutique en ligne Amazon.com, enregistrée depuis le 22 octobre 2012. Les messages spam proposent de télécharger une licence pour Microsoft Windows, mais si l'utilisateur clique sur le lien, son PC est infecté par deux programmes en même temps, Trojan.Necurs.97 et BackDoor.Andromeda.22, qui, à leur tour, sont prêts à installer d’autres programmes malveillants sur commande des malfaiteurs.

Depuis le 22 octobre 2012, les pirates envoient des messages électroniques en utilisant le nom d’Amazon.com. Ils comportent l’objet suivant: Order N [nombre aléatoire] et le contenu suivant :

Hello,

You can download your Microsoft Windows License here.

Microsoft Corporation

Le message contient un lien vers une page web et l'utilisateur qui l’ouvre reçoit, via son navigateur, un fichier en langage JavaScript. Lors de l'exécution de ce fichier, deux programmes malveillants s'installent sur le PC: un downloader BackDoor.Andromeda.22 et un programme Trojan.Necurs.97.

Le trojan Trojan.Necurs.97 est capable de s'auto propager et peut infecter les périphériques amovibles et les ressources du réseau local. Suite à son lancement, il crée un fichier exécutable dans un dossier spécial et modifie la branche du registre relative à l'auto démarrage des applications. Ensuite, le trojan cherche en mémoire les processus des navigateurs Internet Explorer et Mozilla Firefox, et s'il les trouve, y intègre un code malveillant. Puis le Trojan.Necurs.97 cherche à faire une copie de lui-même sur tous les périphériques disponibles en enregistrant sur chacun d’entre eux une copie sous un nom aléatoire, ensuite il crée dans la racine du périphérique un fichier autorun.inf pour assurer son lancement automatique.

Le Trojan.Necurs.97 établit une connexion avec les serveurs distants des pirates, annonce l'installation réussie et attend les commandes à accomplir. Il est notamment capable de télécharger différentes applications sur le PC et d’envoyer des fichiers aux pirates.

Doctor Web appelle les utilisateurs à rester vigilants et à ne pas ouvrir les liens se trouvant dans les messages reçus depuis des sources inconnues.