"virus java et virus flash" sur Deviantart et Ebay

[Malekal_morte]

Beaucoup d'internautes remontent des malvertising "Virus Java" et "Virus Flash" sur Ebay et DeviantArt ce WE

Les adresses des malvertising :
flashplayerupgradesnow.com
flashplayerupgradenow.com
javaupgradingnow.com
browserupdatingnow.com

Respectivement "lecteur vidéo obsolète" :


Obsolète Java plugin détecté :


Update Vidéo player :



Pour s'en protéger, vous pouvez installer Blockulicious : http://forum.malekal.com/blockulicious- ... 46656.html

~~

Ce n'est d'ailleurs par la première fois que ces sites sont touchés par ces malvertising.
Cette dernière semble aussi être sur le réseau Google.

DoubleClick.png

Ceci a été signalé à Devianart et les adresses ont été remontés aux antivirus : https://twitter.com/malekal_morte/statu ... 6796138496

Le but étant de vous faire lancer les installeurs pour vous faire installer des adwares et autres programmes parasites.

Plus d'informations sur ces procédés à la page suivante : http://forum.malekal.com/pup-optional-t ... 47819.html

[Malekal_morte]

Les redirections cldloadz.com qui sont bloqués par Google Safebrowsing sont aussi liés à ces campagnes de malvertising (contextweb network est touché).

cldloadz.com.png

[Malekal_morte]

L'adresse pour la fausse page Flash a changé en : http://www.flashplayerinstall.com




On retrouve le malware PUP.DomaIQ / Win32.SoftPulse dont ces méthodes étaient déjà expliquées sur la page : http://forum.malekal.com/pup-optional-t ... 47819.html

SHA256: f5de8381974a928463916b4e948b81d0f9d3f6b174f8da635e755aecb43a89b5
Nom du fichier : Setup (5).exe
Ratio de détection : 17 / 53
Date d'analyse : 2014-11-02 14:45:16 UTC (il y a 1 minute)

Antivirus Résultat Mise à jour
AVG Win32/DH{gRIxflCBB3lUTxVRgQkcU4ET} 20141102
AVware DomaIQ (fs) 20141031
AhnLab-V3 PUP/Win32.SoftPulse 20141102
Avira APPL/Softpulse.O 20141102
Comodo Application.Win32.DomaIQ.FSX 20141102
DrWeb Trojan.DownLoader11.36367 20141102
ESET-NOD32 a variant of Win32/SoftPulse.O 20141102
Ikarus Backdoor.Win32.Ruskill 20141102
K7AntiVirus Unwanted-Program ( 0040f95a1 ) 20141031
K7GW Unwanted-Program ( 0040f95a1 ) 20141031
Kaspersky HEUR:Trojan.Win32.Generic 20141102
Malwarebytes PUP.Optional.DomaIQ 20141102
McAfee SoftPulse.a 20141102
McAfee-GW-Edition BehavesLike.Win32.CryptDoma.bc 20141102
Norman Malware 20141102
Sophos SoftPulse 20141031
VIPRE DomaIQ (fs) 20141102

[Malekal_morte]

Virus mise à jour Flash avec les adresses :

Code : Tout sélectionner

http://ehds.westoakmarket.com/med/nekd?meh=ud&id=737929
http://kingsdowns.com/lp106/fr/index.html?sid=1427&dv1=ad1424-fr&kw1=ad1424-fr-qyc&uuid=a1c5cac7-3763-4c35-76f0-59d630226221
http://kingsdowns.com/lp106/fr/css/style.css

Le Javascript utilisé pour opérérer la redirection vers la fausse page de mise à jour Flash est relativement bien détecté : https://www.virustotal.com/fr/file/2458 ... 419077643/

SHA256: 2458fc2967b60587d7aff8d34f99fa46ed50ff002dafa92d2245b919291fddba
Nom du fichier : fakeflash_js.txt
Ratio de détection : 14 / 53
Date d'analyse : 2014-12-20 12:14:03 UTC (il y a 40 minutes)

Antivirus Résultat Mise à jour
AVware Trojan.JS.Agent.h (v) 20141220
Ad-Aware Trojan.JS.QVC 20141220
Avira JS/Heady.A 20141220
BitDefender Trojan.JS.QVC 20141220
DrWeb JS.IFrame.505 20141220
Emsisoft Trojan.JS.QVC (B) 20141220
Fortinet JS/Badarc.QVC!tr 20141220
GData Trojan.JS.QVC 20141220
Ikarus Trojan.Script 20141220
MicroWorld-eScan Trojan.JS.QVC 20141220
NANO-Antivirus Trojan.Script.IFrame.bbcbap 20141220
Sophos Troj/JSRedir-HZ 20141220
VIPRE Trojan.JS.Agent.h (v) 20141220
nProtect Trojan.JS.QVC 20141219