www.MegaLab.it

LinkOptimizer è diventato ormai una vera e propria piaga, che in questi mesi è andata diffondendosi a macchia d'olio, soprattutto in Italia.

Mentre a Giugno e Luglio gli utenti infettati (e imploranti attenzione), sebbene già numerosi, si potevano contare, ora, quasi tutti coloro che si rivolgono ai forum sono vittime di questo malware.

Il problema più gravoso per gli utenti consiste nell'eliminazione del virus, che è formato da più componenti operanti in sinergia fra loro...

Comportamente e prevenzione

LinkOptimizer si contrae visitando particolari siti (che esistono al solo fine di contagiare più PC possibili). Molti di questi sono oggigiorno contrassegnati da uno sfondo tricolore.

Non appena aperta la pagina, il sito, tramite un bug del browser Internet Explorer, carica il file infetto sul PC. Questo, a sua volta, scaricherà gli altri componenti dal server d'origine. Tali file vengono oggi scaricati da td8eau9td.com, ma in passato venivano scaricati da gromozon.com e da mioctad.com.

Questa non è la sede adatta per descrivere nel dettaglio ogni parte del malware e la sua funzione, pertanto, mi limiterò a considerare che i file vengono celati attraverso una tecnica particolare, definita rootkit: è proprio questa caratteristica che rende particolarmente difficile la rimozione.

Se agli inizi era necessario collegarsi quasi esclusivamente a un sito a luci rosse (di marca italiana) per contrarre il malware, oggi il raggio di azione si è notevolmente allargato. Sono stati creati anche siti infetti che trattano di elettrodomestici (per dirne una).

Una semplice soluzione per evitare il malware è navigare usando i browser alternativi (Firefox od Opera), che avvisano quando il sito sta tentando di scaricare un file.

Il file in questione si chiama www.google.com, al fine di indurre l'utente a pensare che sia un file legittimo di Google.

L'estensione .com però indica un file eseguibile, come .exe o .bat.

Se si analizza il file www.google.com sul sito www.Virustotal.com, esso viene riconosciuto come un virus praticamente da tutti, anche se con un nome diverso.

Sintomatologia

I sintomi facilmente riscontrabili consistono in un evidente rallentamento del PC (insieme ad un uso smodato della CPU) e alla comparsa di numerosi popup nel web e durante la ricerca con Google.

Con quest'ultima, il malware fa comparire un popup del genere: premettendo che io stia cercando su Google "Calcio", il popup riporterà diversi link a siti a pagamento, e in grande la scritta "Are you looking for *Calcio*? "

Utilizzando invece un programma di diagnostica come HijackThis, potremmo notare voci del tutto simili a quelle sotto riportate.

Nelle istruzioni seguenti, non tutte le voci che vedete potrebbero essere presenti; ciò dipende dalla versione del malware, considerato che ne esistono almeno tre o quattro, stando a quanto emerge dai log che riceviamo sul forum.

Una delle più recenti versioni non visualizza nessuna di queste voci nel log di HijackThis:

* R3 - Default URLSearchHook is missing

* O2 - BHO: Class - {CLSID casuale} - C: \Windows\[random 5 lettere]1.dll (file missing)

* O2 - BHO: Class - {CLSID casuale} - C: \Windows\[random 2 lettere]aa.dll (file missing)

* O4 - HKLM.. Run: [[random 4 lettere]1.exe] C: \Windows\Temp\[random 4 lettere]1.exe

* O4 - Startup: w32.exe

* O16 - DPF: {CLSID casuale} - http://td8eau9td.com/a33ed837/50310/1/XP/FreeAccess.ocx

* O23 - Service: [Random] - Unknown owner - \? C: \Programmi\File comuni\System\[random].exe (file missing)

Inoltre, il malware genera uno o più utenti dal nome casuale (ad es. FdgHEhhjEa).

Per verificarne la presenza, è sufficiente abilitare la visualizzazione dei file nascosti e andare in C:\Documents and Settings

Si potrà riscontrare anche la presenza della voce LinkOptimizer (o anche ConnectionServices) nel pannello Installazione Applicazioni.

NOTA BENE: non si deve assolutamente disinstallare il malware da questo pannello, non avrebbe alcun effetto e si aprirebbero diverse pagine web, con un eventuale peggioramento della situazione, a causa dell'installazione di un Trojan aggiuntivo... nel caso non ne abbiate abbastanza...

Rimozione

Ultimamente, alcune compagnie antivirus (fra le quali Symantec) hanno aggiornato le definizioni dei propri antivirus, ma il worm rimane comunque di difficile rimozione per la sua complessità strutturale e le numerose varianti in cui si propone.

Recentemente, Prevx ha rilasciato un tool per la completa rimozione del malware. Purtroppo, però, questo tool spesso non rimuove del tutto il malware, costringendo così l'utente meno smaliziato e meno avvezzo all'uso del PC a fare richiesta di aiuto nei forum.

Sebbene un tool, che spesso non funziona perfettamente, possa sembrare quasi superfluo, nel caso di LinkOptimizer esso si rivela piuttosto utile, in quanto semplifica di molto il processo di rimozione. Download tool

La rimozione manuale, invece, è consigliabile solo per chi se ne intende, o sotto la guida di un esperto.

Nel caso si voglia (o si debba) procedere a una rimozione manuale, sarà necessario scaricare questi programmi: