[NEWS] XP Police Antivirus 2009

[Edgar Bangkok]

mercoledì 11 febbraio 2009

E' uno dei tanti recenti softwares del genere Rogue anti-spyware che dimostra una notevole capacita' nel generare falsi avvisi malware sul computer dove viene installato.

Questo il sito (xp-police-2009.com)

con whois

che propone il download di un piccolo file eseguibile

scarsamente riconosciuto dai principali softwares AV su VT,
e che se eseguito, contrariamente a molti altri simili programmi che propongono finestre di install con menu' di scelta, in maniera del tutto nascosta, scarica ed installa il falso AV

Non vengono infatti presentati menu' di install o altri avvisi ma, una volta lanciato, il file install.exe, agisce in background, scaricando il software ed installandolo e roponendo solo alla fine, una pagina web che avverte del successo dell'operazione.
(img sul blog)
A questo punto comincia in automatico la scansione del computer che portera' tramite insistenti popup, ad avvisi sulla presenza di virus, di connessioni pericolose in rete ecc... per tentare di far registrare a pagamento il falso programma.

Interessante notare la cura nel simulare ad esempio il control center di windows XP
(img sul blog)
con una finestra praticamente identica all'originale tranne che per il fatto che cliccando sui vari links presenti si viene sempre reindirizzati al sito web per attivare a pagamento il falso AV.
(img sul blog)
Come per altri falsi AV, visto che non esiste una disinstallazione, esistono, cercando in rete vari suggerimenti per disinstallare il falso antivirus una volta che sia presente sul pc.

Molto interessante e' invece la pagina a cui linka il sito web di XP Police Antivirus 2009 per quanto si riferisce al supporto online (freehelpdeskonline.com).

Vine infatti proposto un link a questo sito,
(img sul blog)
che dimostra subito delle particolarita' sugli indirizzi IP, come vediamo dallo screenshot.
(img sul blog)
Un nslookup dell'indirizzo
(img sul blog)
mostra, come era prevedibile, un basso valore di TTL (solo 2 minuti) ed una serie di IP che farebbero pensare ad un utilizzo di Fast Flux per questo sito di supporto clienti.

Anche una scansione con lo script Whois
(img sul blog)
dimostra che esiste un continuo cambiamento degli IP di riferimento al sito che puntano a diversi paesi

Edgar

fonte: http://edetools.blogspot.com/2009/02...irus-2009.html