Microsoft annonce lutter contre les adwares "MiTM"

[Malekal_morte]

Dans une actualité sur son blog, Microsoft dit vouloir combattre les adwares MiTM. Les attaques de type MiTM : 'man-in-the-middle' , sont anciennes et consistent à positionner un élément, généralement entre l'ordinateur et la connexion, afin d'intercepter et/ou de fausser les résultats en effectuant des redirections vers un serveur contrôlé par l'attaquant. Le but, en général, de ces attaques est de pouvoir voler des informations comme des identifiants. Les trojans de type Banker utilisent des attaques similaires au "MiTM" mais au niveau du navigateur WEB ( MITB : 'man-in-the-browser' ), par exemple, en plaçant un proxy pour récupérer les informations de connexions au site bancaire.

Certains familles d'adwares et on pense à Komodia/v-bates sont très friands de ces techniques afin de pouvoir effectuer des redirections vers des régies publicitaires dans le but d'injecter des publicités.

Généralement, cela se traduit :

• Une modification des serveurs DNS de l'ordinateur, Komodia, n'est pas le seul, par exemple, DNS-Unlocker utilise cette approche.
• L'installation d'un certificat afin de pouvoir injecter des publicités sur sites HTTPs
• Spécifiquement la variante v-bates "patch dnsapi.dll" qui change le fichier HOSTS afin de pouvoir opérer des redirections.
• L'installation d'une DLL dans couche Winsock afin de manipuler les résultats réseaux. Les variantes abengine/acengine utilisent ces techniques.

Pour les deux dernier cas, se reporter à la page : Pilotes "bsdriver.sys" & "cherimoya.sys" : abengine, vous y verrez l'installation du certificat et l'utilisation de DLL dans la chaîne Winsock. Effectivement cela pose de sérieux problèmes puisque ces adwares peuvent, s'ils le désirent, voler n'importe quelles informations.



On peut donc se réjouir du discourt de Microsoft, qui reste néanmoins assez timide sur les détections adwares. A ce jour, il n'y a qu'une seule et unique détection qui vise l'installeur Amonetize qui va par des sites de cracks/keygen et qui installe d'ailleurs les variantes Komodia (actuellement Shopperz).

J'en avais parlé sur la page : PUPs/Adwares : guerre des moteurs de recherche où Microsoft, distribue via Bing, les plate-formes de PUPs DownloadAdmin / DomaIQ et InstallCore. Probablement car ces derniers forcent le moteur de recherche Bing, ce qui permet à Microsoft d'augmenter le trafic de son moteur de recherche. Yahoo! fait de même, ainsi que d'autres. Personnellement, j'y vois plus une sorte d'hypocrisie masquée à demi-mots, Microsoft dit combattre les adwares mais autorisent ceux qui concernent l'ajout de Bing.



Si ces détections font perdre trop de "clients" à la famille Komodia, il ne restera plus qu'à tenter de se diffuser via une plate-forme qui pousse Bing ou en utilisant des techniques moins "sauvages". Et là probablement que Microsoft ne dira plus rien et le proposera même sur son moteur de recherche Bing, en résultats commerciaux, comme c'est le cas des autres plate-formes de PUPs.