G Data: i falsi antivirus sono ancora una minaccia

Nonostante la diminuzione registrata negli ultimi mesi, i cyber criminali continuano ad utilizzare questo stratagemma per infettare i Pc degli utenti. Ecco come funzionano i falsi antivirus.

Durante le ultime settimane i G Data Security Labs hanno esaminato le modalità di funzionamento di diversi falsi programmi antivirus analizzandone in dettaglio il codice sorgente. Di norma la maggior parte di questi programmi antivirus si presenta sotto forma di pagine web che cercano di simulare il layout di Microsoft Internet Explorer per darsi un alone di credibilità. Un falso scanner antivirus, poi, finge di rivelare presunte minacce sul Pc dell’utente inducendolo a scaricare un falso software antivirus.

Si tratta di un approccio tipico del cosiddetto Social Engineering e che fa leva sulla paura dell’utente inducendolo a credere che il suo sistema sia infetto.

Tutti i falsi scanner antivirus analizzati da G Data cercano di replicare il layout di Windows XP e Windows 7. Per indurre l’utente ad aprire la pagina web del falso antivirus, inoltre, si sfrutta la funzione di re-indirizzo. L’utente, in altre parole, non apre direttamente la pagina web del falso scanner antivirus, ma ci arriva di norma cliccando su un link trovato all’interno di un sito ritenuto affidabile che è stato opportunamente modificato dai criminali online.

Ecco nel dettaglio come sono strutturate la pagine Internet di questi falsi scanner antivirus:

1. Falsi avvisi

Quando un utente apre un sito che è stato modificato dai cyber criminali, viene mostrato un avviso JavaScript. Questa tipologia di avvisi differisce soltanto per la sintassi e il layout web in relazione al browser installato.

2. Falso scanner di sistema

Questa è la parte principale della pagina web. Dopo che l’utente ha cliccato “OK” sul falso avviso iniziale, un falso scanner evidenzia la presenza di diverse infezioni sul Pc dell’utente. Anche questi scanner funzionano con Javascript. I file scannerizzati, le loro estensioni e anche le presunte minacce trovate sono generate in maniera casuale dallo script sulla base di un set predefinito di valori (il fine di questa azione è ovviamente quello di sfuggire all’analisi di un vero programma antivirus).

Tutti i codici esaminati indicano che la pagine in questione sono state probabilmente codificate da un piccolo gruppo di persone, se non da un’unica persona, perché molti frammenti di codice utilizzato sono praticamente identici.

Alcuni di questi siti, inoltre, utilizzano tecniche di offuscamento per impedire e ostacolare un’eventuale analisi manuale condotta da un’analista della sicurezza, come pure un’ispezione automatica avviata tramite un apposito tool. Il fatto che alcune pagine siano offuscate ed altre no lascia presupporre che tali pagine siano state create da un piccolo gruppo di persone che ha poi venduto il codice sorgente ad altri criminali i quali hanno poi aggiunto le tecniche di offuscamento.

3. Falsi risultati dello scanner e software fasullo

Dopo che è terminato il finto scanner di sistema e sono state evidenziate le (false) minacce, viene subito proposta una soluzione. Esaminando il codice i laboratori di G Data hanno notato una certa evoluzione dello stesso. Se, infatti, su Windows XP i risultati della scansione vengono presentati in una semplice immagine, quelli su windows 7 sono generati dinamicamente da JavaScript e consentono agli utenti di interagire con la lista di risultati tramite una finestra con tanto di scrolling.

Queste pagine Internet sono hostate su domini internet free e hanno una media di vita di un solo giorno.

4. Tentativo di infezione

Dopo la scansione viene consigliato il download di un (falso) software antivirus. I siti Internet, però, sono strutturati in maniera tale da rendere impossibile all’utente il rifiuto del download. La chiusura della finestra del browser e la pressione il tasto “Back” sono infatti disabilitati tramite JavaScript. Ogni volta che l’utente tenta di compiere queste operazioni la finestra di download continua a mostrarsi. Fino a questo punto non c’è ancora infezione.

5. Come evitare l’infezione?

Per evitare il download l’unica via percorribile è aprire il Task Manager (Ctrl+Alt

+Canc) e terminare manualmente il processo del browser selezionandolo tra i programmi attivi e premendo quindi su “Termina Operazione”.

Consigli utili per proteggersi dai falsi antivirus

- Utilizzare una soluzione per la sicurezza informatica completa con tanto di filtro http e firme virali aggiornate;

- Se scaricate software da Internet, scaricatelo solo dai siti ufficiali dei produttori o da siti dedicati che abbiano una buona reputazione;

- Se un sito mostra una finestra di download, controllate se davvero questo è un software che volete scaricare. Queste finestre automatiche di pop-up spesso fanno riferimenti a falsi software;

- Tenete sempre aggiornati il sistema operativo e il browser;

- Non cliccate hyperlink;

- Analizzate il linguaggio e l’ortografia dei pop-up e degli avvisi che compaiono in Internet. Troppi errori grammaticali sono segno evidente di una trappola.

Articoli correlati:

1. G Data FakeAV Cleaner: la soluzione perfetta contro i falsi antivirus G Data pubblica un tool gratuito per rimuovere i più comuni programmi antivirus falsi. G Data ha registrato un significativo aumento...
2. G Data: le soluzioni di sicurezza sono certificate ICSA Labs nella categoria antivirus Il rinomato laboratorio di test ha messo alla prova la qualità”Made in Germany“. Le soluzioni di sicurezza G Data security rispettano...
3. McAfee segnala i 12 “most wanted” programmi di utilità e “falsi” antivirus Proprio come i criminali che si travestono da tecnici dei telefoni per entrare nelle case, i software dannosi più diffusi...
4. G Data: Attenti ai falsi tool di sistema per PC La manutenzione del proprio Pc è importante, ma attenti alle false offerte di aiuto. Una nuova tipologia di software scareware...
5. E’ ancora più semplice combattere il malware con GFI VIPRE® Antivirus Business 5.0 La nuova versione aggiunge miglioramenti significativi in termini di facilità di utilizzo e implementazione, rendendo VIPRE Antivirus Business la scelta...
6. G Data AntiVirus 2012: la miglior protezione contro i malware secondo AV-Comparatives La soluzione di sicurezza made in Germany risulta eccellente nel test condotto dal celebre istituto. Quale soluzione di sicurezza assicura la...
7. GFI VIPRE Antivirus Home è disponibile in italiano Il noto e premiato antivirus di GFI Software offre una protezione globale dalle minacce Internet  GFI Software, fornitore leader di...
8. G Data AntiVirus 2010 primo nei test di AV-Comparatives Il software di G Data ottiene una valutazione Advanced+ e il più alto livello di Malware Detection tra tutti i...
9. AV-Comparatives: G Data AntiVirus 2011 è il miglior cacciatore di virus Il software di G Data ha impressionato ottenendo nel prestigioso test comparativo un eleva-tissimo valore nell’identificazione di programmi pericolosi. La minaccia...
10. G Data: il ritorno del malware ZeuS Nuove ondata di mail di spam pronte per diffondere il pericoloso Trojan bancario. Questa volta con una duplice trappola. ZeuS è...