O (Rogue) AntivirusBest Usa o Módulo BHO e as Populares Redes de Afiliados para Infectar Usuários

O AntivirusBest está fazendo o possível para pegar usuários de computador desavisados de surpresa com mensagens de aviso falsas do Internet Explorer e o uso de redes de afiliados populares de terceiros para distribuir seu programa.

Esta semana, vimos um novo programa anti-spyware falso chamado AntivirusBest que instala um BHO (Objeto Auxiliar do Navegador) do Internet Explorer. O módulo BHO QWProtect.dll sequestra o navegador IE e exibe uma mensagem de aviso falsa, que simula uma mensagem normal do IE, abaixo da barra de ferramentas do navegador, como mostrado na Figura 1.

A mensagem de aviso falsa do IE diz o seguinte:

"Internet Explorer has found an unregistered version of AntivirusBest. To protect your computer, please register your AntivirusBest."

Ao clicar na mensagem de aviso falsa do Internet Explorer, o usuário é direcionado para um link de download do AntivirusBest. O AntivirusBest executa uma verificação falsa e detecta infecções inexistentes no sistema do usuário. O AntivirusBest é projetado para exibir os mesmos resultados de verificação, independentemente da máquina em que for executado. Em seguida, o usuário é bombardeado com alertas falsos do sistema na forma de janelas pop-up ou mensagens em balão na bandeja do sistema, que o lembram repetidamente de comprar o programa AntivirusBest, como mostrado nas Figuras 2, 3 e 4.

O trojan usado para distribuir o AntivirusBest também impede que os usuários acessem softwares de segurança e sites legítimos, como mencionado em um artigo anterior intitulado "Variantes do Trojan Rootkit.Gen bloqueiam a execução de aplicativos de segurança (Norton, Windows Defender e outros)" . Nesse ponto, o usuário do computador é forçado a desistir e comprar o AntivirusBest ou gastar tempo tentando descobrir como remover o programa antivírus falso.

A mensagem falsa "Alerta de conflito interno do AntivirusBEST" diz:

AntivirusBEST
Internal conflict alert.
AntivirusBEST detected internal software conflict. Some application tries to get access to system kernel (such behavior is typical to Spyware/Malware). It may cause crash of your computer.

A mensagem falsa "Alerta de violação de privacidade do AntivirusBEST!" diz:

AntivirusBEST
Privacy Violation alert!
AntivirusBEST detected a Privacy Violation. A program is
secretly sending your private data to an untrusted internet
host. click here to block this activity by removing the threat
(Recommended).

A mensagem falsa "Seu PC não está protegido" diz:

Your PC is not protected
Security center reports that 'AntiviruBEST' is inactive. Antivirus software helps to protect your computer against viruses and other security threats. Click here for the suggested actions. You system might be at risk now.

Já vimos no passado outros softwares de segurança fraudulentos usarem BHOs (objetos de cabeçalho de jogo) ou cavalos de Troia para sequestrar navegadores e desativar funções essenciais em um computador. Mas o que acontece quando redes de afiliados confiáveis incluem um software de segurança fraudulento em sua lista de produtos para promover online? Não é a primeira vez que criadores de malware sequestram sites conhecidos e confiáveis ou enganam grandes provedores de publicidade para promover aplicativos fraudulentos.

Graças a um artigo interessante do Washington Post ( "Lucros Massivos Impulsionam o Mercado de Antivírus Falsos" ), tivemos um vislumbre do mercado de antivírus falsos e de quanto os ativistas de malware são pagos para "publicitar" esses produtos. De acordo com o artigo do Washington Post, os dados coletados por pesquisadores de segurança no TrafficConverter.biz, uma das redes de afiliados mais infames na venda de software de segurança falso, mostram que alguns dos afiliados que mais lucraram chegaram a ganhar mais de US$ 100.000 por mês em comissões.

O que diferencia o AntivirusBest é que o programa direciona os usuários para links de afiliados de redes legítimas e conhecidas, em vez das típicas redes de afiliados fraudulentas. Os links de afiliados levam às páginas de compra do AntivirusBest da RegNow, eSellerate, Plimus e SWREG. Aparentemente, os criadores de malware decidiram expandir suas operações e enganar redes legítimas para que promovam aplicativos maliciosos.

Não é surpresa que os criadores de malware estejam visando redes de afiliados legítimas, é algo com que elas lidam diariamente, mas conseguir que um programa fraudulento seja aprovado e execute ordens de compra é a parte preocupante.

Eis o que aconteceu quando nossa equipe de pesquisa teve um computador de teste infectado com o AntivirusBEST e clicou no botão "Remover todas as ameaças agora" na mensagem "Aviso! 41 infecções encontradas!!!", como mostrado na Figura 5:

• Na primeira vez que o botão "Remover todas as ameaças agora" foi clicado, ele redirecionou para um domínio malicioso chamado your-security-center.com, um dos muitos domínios usados para promover aplicativos fraudulentos, para comprar o aplicativo AntivirusBEST por US$ 59,95, como mostrado na Figura 6 abaixo. A qualquer momento, o botão "Remover todas as ameaças agora" pode redirecionar para um domínio malicioso diferente para evitar a detecção e a filtragem.
• Na segunda, terceira, quarta e quinta vez que o botão "Remover todas as ameaças agora" foi clicado, o usuário foi redirecionado para páginas de compra diferentes, provenientes de redes distintas, conforme ilustrado nas Figuras 7, 8, 9 e 10 abaixo. As páginas de compra são de sites legítimos e não foram invadidas para hospedar malware ou redirecionar para domínios fraudulentos criados para parecerem legítimos. O AntivirusBEST foi adicionado às redes de afiliados como mais um produto para venda.

Note que essas redes de afiliados não são redes de afiliados desonestas. Então, a questão é: como o AntivirusBEST conseguiu passar pelo processo de pré-seleção de tantas redes de afiliados? Fique ligado para mais informações.