Trojan:BASH/QHost.WB

Il post seguente è stato tradotto per gentile concessione di F-Secure

Ci siamo imbattuti in un falso installer FlashPlayer.pkg per Mac:

Una volta installato, il trojan aggiunge alcune voci nei file host con l’intento di effettuare l’hijack degli utenti che visitano vari siti di Google, (ad esempio, google.com.tw, ​​google.com.tl, ecc), verso l’indirizzo IP 91.224.160.26, che si trova nei Paesi Bassi.

Il server dell’indirizzo IP visualizza una pagina web fasulla, creata per apparire simile al sito legittimo di Google.

Per fare un esempio, questo è l’aspetto di Google.com.tw su un sistema normale, non-infetto:

trojan_bash_qhost_wb_google_tw_clean (68k image)

Ecco, invece, come appare Google.com.tw su un sistema infetto:

trojan_bash_qhost_wb_google_tw_infected_system (72k image)

Quando viene richiesta una ricerca, il server remoto restituisce una falsa pagina che imita una pagina legittima dei risultati di ricerca di Google.

Ecco una richiesta di ricerca sul sito reale di google.com.tw su un sistema pulito:

trojan_bash_qhost_wb_google_tw_clean_searches (169k image)

Ed ecco la stessa richiesta su un sistema infetto:

trojan_bash_qhost_wb_google_tw_infected_system_searches (250k image)

Anche se la pagina sembra abbastanza realistica, fare clic su uno dei link non porterà l’utente ad altri siti. Il clic sui link aprirà, però, nuove pagine pop-up, tutte provenienti da un server remoto separato:

trojan_bash_qhost_wb_google_tw_infected_system_search_source (173k image)

Mentre scriviamo, le pagine pop-up non mostrano nulla, anche se presumiamo siano annunci di qualche tipo. Pare che il server remoto che invia le pagine pop-up non sia operativo.

L’altro server remoto che invia false richieste di ricerca sembra essere ancora attivo.

Abbiamo identificato questo trojan come Trojan:BASH/QHost.WB.

—–

Analisi di – Brod

Fonte: Trojan:BASH/QHost.WB

Written by admin

Lascia un commento

Il tuo indirizzo email non sarà pubblicato. I campi obbligatori sono contrassegnati *