Le 04 avril 2012
La contamination par le trojan
- godofwar3.rr.nu
- ironmanvideo.rr.nu
- killaoftime.rr.nu
- gangstasparadise.rr.nu
- mystreamvideo.rr.nu
- bestustreamtv.rr.nu
- ustreambesttv.rr.nu
- ustreamtvonline.rr.nu
- ustream-tv.rr.nu
- ustream.rr.nu
Selon les estimations des chercheurs, on trouvait plus de 4 millions de pages web infectées fin mars, dans les SERP (Search Engine Results Page) de Google. De plus, sur les forums d'utilisateurs d'Apple, des cas d'infection par le trojan
A partir du mois de février 2012, pour propager des logiciels malveillants, les malfaiteurs ont utilisé les vulnérabilités CVE-2011-3544 et CVE-2008-5353, et après le 16 mars, ils ont commencé à utiliser un autre exploit (CVE-2012-0507). Une correction de cette vulnérabilité a été publiée par Apple le 3 Avril 2012.
Cet exploit sauvegarde sur le disque dur du mac infecté un fichier exécutable destiné à télécharger et à lancer ultérieurement un payload depuis des serveurs de contrôle distants. Les spécialistes de Doctor Web ont détecté deux versions de ce trojan : depuis le début du mois d'avril, les malfaiteurs utilisent une version modifiée du
- /Library/Little Snitch
- /Developer/Applications/Xcode.app/Contents/MacOS/Xcode
- /Applications/VirusBarrier X6.app
- /Applications/iAntiVirus/iAntiVirus.app
- /Applications/avast!.app
- /Applications/ClamXav.app
- /Applications/HTTPScoop.app
- /Applications/Packet Peeper.app
Si les fichiers ci-dessus ne sont pas détectés, le trojan crée une liste de serveurs de contrôle distants selon un certain algorithme et envoie un message signalant le succès de l'installation au serveur de statistiques établi par les pirates, puis il interroge successivement les serveurs de contrôle distants.
Il est à noter que le programme malveillant utilise un mécanisme particulier pour générer des adresses de serveurs de contrôle distants, permettant, si nécessaire, de répartir dynamiquement la charge entre eux, en basculant d'un serveur à l'autre. Après avoir reçu une réponse d'un serveur de contrôle, le
Chaque bot inclut un ID unique de l'ordinateur contaminé dans sa demande au serveur de contrôle. En utilisant la méthode sinkhole, les spécialistes de Doctor Web ont pu rediriger le trafic du botnet vers ses propres serveurs, ce qui leur a permis d’effectuer un calcul des hôtes infectés.
Au 4 avril 2012, plus de 550.000 ordinateurs contaminés et tournant sous Mac OS X fonctionnent dans ce réseau botnet. De plus, il ne s’agit que d’une petite partie du botnet utilisant cette modification du trojan
Pour assurer la sécurité des ordinateurs contre le
[url=http://news.drweb.fr/show/?i=611&c=5]Lire l