Rencontrez Kyle et Stan, un nouveau cauchemar de malvertising

Rencontrez Kyle et Stan. Non, je ne parle pas du duo à la bouche de South Park, mais plutôt du dernier réseau de Malvertising de Hell. C'est ingenius. C'est pernicieux. Et cela menace les utilisateurs Mac et Windows.

Malvertising est un support de «malware» et de «publicité». La façon dont cela fonctionne est simple. Premièrement, des canaux de publicité en ligne légitimes sont utilisés pour forcer les navigateurs à télécharger des logiciels malveillants. Fait troublant, les victimes n'ont même pas besoin d'être sur un site Web suspect. Ces publicités malveillantes ont même été diffusées sur des sites Web aussi anodins que Amazon.com, Apple.com et ads.yahoo.com..

Kyle et Stan profitent de l'ingénierie sociale pour pomper votre ordinateur avec des logiciels malveillants indésirables et déplaisants. Curieux de savoir comment vous pouvez vous défendre? Continuer à lire.

Comment fonctionne l'attaque

L'attaque dépend d'un certain nombre de choses. Le premier consiste en quelque sorte à convaincre un réseau publicitaire traditionnel (et légitime), tel que DoubleClick de Google, d'exécuter une publicité contenant du code malveillant. Non détectée par la régie publicitaire, cette annonce est ensuite redirigée vers d'autres sites légitimes, qui s'exécutent ensuite dans le navigateur, puis redirigent les utilisateurs vers des sites hébergeant des logiciels malveillants..

Le logiciel malveillant détermine également le système d'exploitation et les navigateurs utilisés en examinant la chaîne user-agent, qui contient une mine d'informations sur la configuration de l'ordinateur. Cela contient tout, de la résolution de l'écran jusqu'aux plugins en cours d'exécution sur le navigateur..

Une fois que le logiciel malveillant a déterminé le système d'exploitation de l'utilisateur, il prend alors la décision de rediriger le navigateur. Les utilisateurs Mac sont envoyés sur des sites hébergeant des programmes malveillants spécifiques à OS X et regroupés sous un fichier DMG, tandis que les utilisateurs Windows sont envoyés sur des sites hébergeant des programmes malveillants Windows sous forme de fichiers exécutables..

Votre navigateur téléchargera alors automatiquement le malware. Il s'agirait d'un ensemble de logiciels légitimes - généralement un lecteur multimédia - en plus de plusieurs logiciels malveillants et d'un fichier de configuration spécifique à l'utilisateur..

Comme le note le blog de Cisco qui a initialement identifié le programme malveillant, il est intéressant de noter que «Kyle et Stan» est intéressant, il attaque également les utilisateurs de Mac. Ce sont des utilisateurs qui, traditionnellement, n’ont pas eu à faire face aux risques de sécurité inhérents à Microsoft Windows, ce qui les rend plus vulnérables à l’aspect social de l’attaque..

Les logiciels malveillants diffusés par Kyle et Stan diffèrent fondamentalement quant à leur mode de fonctionnement et à la manière dont ils sont supprimés pour chaque plate-forme ciblée. Curieuse? Continuer à lire.

Le logiciel malveillant Windows

Le malware Windows est une application Windows 32 bits écrite en C ++. Lors de son exécution, il installe plusieurs logiciels malveillants, ainsi que NewPlayer. Cela se déguise en un lecteur multimédia, qui est la facette légitime qui dissimule d’autres activités moins que légitimes. À savoir, il détourne Internet Explorer, Google Chrome et Firefox et sert des publicités et des popups indésirables, ainsi que du trafic de recherche.

Les programmes malveillants Windows desservis par Kyle et Stan obscurcissent son activité avec un système appelé Dynamic Forking. Cela fonctionne en détournant des processus légitimes et les remplace par une autre activité. Cela permet au logiciel malveillant de contourner les fonctions de sécurité de Windows et d’installer de nouveaux logiciels malveillants sans susciter de suspicion. Vous trouverez une explication plus détaillée de ce fonctionnement dans l'article de blog de Cisco..

Dynamic Forking est incroyablement difficile à atténuer. Il montre également le niveau extrême de sophistication de ce malware. Mais qu'en est-il de l'enlever? Se débarrasser de NewPlayer est un processus bien documenté et bien compris. Cependant, comme mentionné précédemment, cela installe (et peut installer) d'autres paquets arbitraires. Par conséquent, il vous est conseillé de disposer d’une installation antivirus à jour et à jour. Ceci est entièrement documenté dans notre Guide de suppression des logiciels malveillants..

Le Malware Mac

Mais qu'en est-il du malware Mac? Lorsqu'un Mac visite un site diffusant une publicité Kyle et Stan, un fichier DMG est automatiquement téléchargé. Inside contient une copie de MPlayerX, un lecteur multimédia légitime revu l'année dernière par mon collègue Dave LeClair..

Ce logiciel est fourni avec deux programmes malveillants moins que légitimes. Les deux sont des pirates de navigateur: Conduit et VSearch. Conduit a un cachet de légitimité - il est créé par une entreprise réelle avec des employés, des bureaux et des adresses postales - et l'utilisateur a la possibilité de choisir de ne pas installer ce pirate de navigateur en particulier. Il n'y a pas une telle option pour VSearch, cependant.

Le comportement de VSearch est compatible avec la plupart des pirates de navigateur. Le trafic de recherche est redirigé vers leurs propres portails, qui ont leurs propres annonces, et des publicités contextuelles sont lancées périodiquement. C'est agaçant et intrusif. Et plus important encore, c'est une menace pour votre vie privée. VSearch démarre également à l'exécution, lorsqu'un lanceur est ajouté à launchctl une fois installé..

Le retirer est relativement facile cependant. Il suffit de déposer les éléments suivants dans la corbeille:

/ Bibliothèque / Application Support / VSearch /Library/LaunchAgents/com.vsearch.agent.plist /Library/LaunchDaemons/com.vsearch.daemon.plist /Library/LaunchDaemons/com.vsearch.helper.plist / Library / LaunchDaemons / Jack. plist / Bibliothèque / PrivilegedHelperTools / Jack / System / Library / Frameworks / VSearch.framework

Que pouvez-vous faire?

Vaincre Kyle et Stan est facile. Vous devez juste être incroyablement vigilant. Votre ordinateur a-t-il automatiquement téléchargé un exécutable auquel vous ne vous attendiez pas? Cela a-t-il l'air louche? Avez-vous été redirigé vers la page de téléchargement d'un logiciel que vous ne connaissez pas? Ce sont toutes des raisons d'être inquiet.

Je vous encourage également à installer un antivirus moderne et mis à jour sur votre système. Cela vaut également pour les utilisateurs de Mac. J'adore les antivirus Sophos OS X.

Avez-vous été frappé par Kyle et Stan? Faites-moi savoir. La boîte à commentaires est ci-dessous.

Crédit d'image: Cisco