Lažni antivirus prilagođen svim vodećim browserima

Vesti, 03.03.2011, 10:52 AM

Godinama unazad, kreatori kampanja koje promovišu zlonamerne programe koje lažno predstavljaju kao antivirusne programe, prilagođavaju takve programe Microsoft-ovom browser-u Internet Explorer i operativnom sistemu Windows. Međutim, nedavno su stručnjaci kompanije Zscaler otkrili da je na sceni kampanja koja na isti način tretira i altrenativne browser-e kao što su Firefox, Google Chrome i Safari.

Naime, autori kampanje osmisli li su je tako da se ona po potrebi prilagođava browser-u koji potencijalna žrtva koristi. Tako će oni koji koriste IE videti navodno upozorenje nalik onom koje korisnicima daje Windows 7, ali kada žrtva koristi Firefox.

Lažno upozorenje ne samo da sadrži elemente Firefox-a u svom izvornom kodu, već oponaša i upozorenje koje browser regularno prikazuje onda kada korisnik pokuša da poseti adresu za koju se sumnja da je na njoj zlonamerni sadržaj.

Kada pokušate da posetite stranicu koristeći Chrome za to, dobijate drugačiju sliku. Prvo upozorenje koje korisnik vidi prikazuje prepoznatljiv logo browser-a i tekst koji govori korisniku da je browser detektovao opasnu aktivnost na sistemu i da će se izvršiti skeniranje sistemskih fajlova (“Chrome Security has found critical process activity on your system and will perform fast scan of system files.”)

Potom korisnik vidi nešto što bi trebalo da predstavlja Chrome-ov prozor koji prikazuje navodno skeniranje sistema.

Ni Safari nije zapostavljen u ovoj kampanji lažnog antivirusa. Ipak, autori kampanje su uložili mnogo manje napora u pogledu mimikrije Apple-ovog browser-a, tako da početno upozorenje izgleda ovako:

Posle ovog upozorenja, skeniranje stranice ostavlja utisak da je reč o Internet Explorer-u.

“Viđao sam i ranije prilagođene zlonamerne veb stranice, ali se uglavnom radilo o lažnim ažuriranjima za Flash ili kodek za Internet Explorer i Firefox,“ kaže Žilijen Sobrier, istraživač kompanije Zscaler. “Nikada do sada nisam video stranice lažnog antivirusa za toliko različitih browser-a.”

Neki od veb sajtova na koje se preusmerava korisnik su columbia.faircitynews.com, www.troop391.org, jmvcorp.com. Kada je preusmeravanje uspelo, sa stranice na koju je korisnik dospeo se pokušava proturiti fajl pod nazivom InstallInternetDefender_xxx.exe, pri čemu je “xxx” broj koji se učestalo menja.

Ovakve kampanje imaju za cilj da se posetioci zlonamernih sajtova ubede da im je računar zaražen i da softver koji se nudi može biti od pomoći pri uklanjanju infekcije. Prilagođavanjem prozora sa upozorenjem različitim browser-ima, sajber-kriminalci povećavaju šanse za uspeh svojih namera.

Iskusni korisnici teško da će nasesti na ovakvu prevaru, ali onim manje upućenim to bi moglo lako da se dogodi.