Security Proscan e Security Full Scan

Si tratta in realta' della medesima applicazione antivirus fasulla che si sta diffondendo in queste ore grazie a links che appaiono su molte pagine di siti compromessi o comunque su pagine che sono utilizzate. loro malgrado, per distribuire links pericolosi.

Un primo caso lo possiamo trovare in una delle tante pagine Moodle che sono aggiornate quotidianamente come vediamo in questi dettagli. (alcune info in piu' sulla compromissione di siti Moodle le trovate su questo recente post)

Questo uno dei siti di E-Leasing coinvolti

che viene sfruttato al suo interno per proporre links

Come si vede i links sono aggiornati alla data odierna

Le pagine con links sono piu' di una ed aggiunte quotidianamente al sito Moodle.
Il link porta tramite successivi redirects a

Un altro caso e' questo link presente in una pagina di Google Groups

che linka a

Come si nota, medesimi files eseguibili su differenti IP

Questo un whois di uno dei siti che distribuisce il falso antivirus


Il range IP relativo ai siti che distribuiscono questa applicazione fasulla comprende numerosi altri siti dubbi tra cui anche pagine che distribuiscono i soliti falsi filmati e codecs video fasulli contenenti varianti di malware Zlob.

Il file esegubile scaricato

viene poco riconosciuto dagli antivirus presenti in VT


mentre una volta in esecuzione si comporta come il 'vecchio' Antivirus 2009 Protection esaminato qui , di cui probabilmente utilizza gli stessi codici, come si puo' vedere confrontando le videate del software odierno in esecuzione


con quelle di Antivirus 2009 Protection.

Come sempre la rimozione del fake antivirus e' difficoltosa e richiede spesso interventi manuali sia cancellando files che chiavi aggiunte sul file registro.

Il consiglio rimane sempre quello di evitare di installare software di cui non si conosce la provenienza, tanto piu; se proposto automaticamente da qualche pagina web ed inoltre dare una occhiata in rete tramite un motore di ricerca per acquisire qualche info in piu' prima di installare un programma la cui rimozione potrebbe poi comportare notevoli problemi.

Aggiornamento 2 novembre

Pur rimanendo con il medesimo nome, il file che installa il falso AV e' cambiato sia di dimensione, come si vede anche da due download successivi (ieri e oggi in basso)

sia come risposta da parte dei vari softwares AV presenti nel report VT

Come sempre le continue modifiche del file eseguibile di install garantiscono che lo stesso sia poco riconosciuto come file pericoloso.

Inoltre il sito del falso scanner online ora propone come url

In ogni caso il link presente sui siti moodle che reindirizza sul sito del falso scanner rimane sempre lo stesso e punta a sito hostato al momento in Germania e con un nome di registrar che non stupisce affatto per questo genere di siti.

Edgar