Le cheval de Troie qui piégeait les pubs AdSense

[TrocWeb]

L'éditeur BitDefender a lancé le 17 décembre dernier une alerte relative à un cheval de Troie capable de modifier le contenus des liens sponsorisés du programme AdSense de Google, de façon à entraîner l'internaute vers les sites de son choix.

Google AdSense est un programme publicitaire, accessible à tous, qui affiche sur votre site des publicités contextuelles, dont le contenu est censé entretenir un rapport avec le contenu de vos pages. L'affichage des publicités se faitau moyen de quelques lignes de code fournies par Google et combinant HTML et JavaScript. C'est l'exécution de ce code qui lance un appel vers les serveurs de Google afin de déterminer quelles sont les publicités à afficher après analyse du contenu.

Ce cheval de Troie, baptisé Trojan.Qhost.WU, opère une modification sur le fichier « hosts » des systèmes d'exploitation. A chaque tentative de connexion vers un serveur distant, ce fichier est consulté afin de vérifier qu'une adresse IP n'est pas déjà associée à un nom de domaine, avant qu'une requête soit envoyée aux serveurs DNS qui se chargent habituellement de la redirection des internautes. Aujourd'hui inutile, ou presque, le fichier hosts n'est plus guère utilisé que pour interdire l'accès à certains sites, dans le cadre par exemple d'un contrôle parental.

Ici, le fichiers hosts est modifié de façon à ce que le script AdSense n'appelle pas les serveurs de Google (pagead2.googlesyndication.com) mais le serveur de l'attaquant, à partir duquel celui-ci diffusera le message de son choix.

L'affaire est ennuyeuse pour Google, bien sûr, mais également pour les internautes que cette usurpation met en danger, ainsi que pour les annonceurs et webmasters qui font confiance au programme publicitaire du numéro un mondial des moteurs de recherche. Ce cheval de Troie ne semble cependant pas opposer de résistance aux programmes de désinfection les plus courants.

Source

[ALeX!S]

Bon à savoir.

Plus d'informations sur la bête et les instructions de nettoyage : http://www.spywareremove.com/removeTrojanQhostWU.html

[thick]

Il me semble avoir déjà vu passer un Trojan semblable il y a une paire d'années (ou peut-être le même).

Il y avait aussi celui qui présentait toujours le même site, quelque soit la requête, dans les premiers résultats. L'arme ultime du référenceur