Un nouveau type de faux logiciel fait son apparition sur Internet. Depuis quelques semaines, la catégorie des « scarewares », ces logiciels dits « de la peur », compte en plus des très répandus faux antivirus, de faux logiciels d’optimisation.

Sous la promesse de réparer et d’optimiser le système d’exploitation, ces logiciels n’ont qu’un but : alléger la victime d’une cinquantaine d’euros.

Les premières variantes de ce nouveau type de logiciels malveillants sont apparues il y a quelques semaines sous différentes appellations : System Defragmenter, Scan Disk, Check Disk ou encore Win HDD.

Ralf Benzmüller, Directeur du G Data SecurityLabs commente cette arrivée : " les cybercriminels évoluent du faux antivirus aux faux logiciels d’optimisation système. Ils ciblent les utilisateurs qui veulent garder leur système réactif. Les outils système sont faux, mais le vol d’argent bien réel.

Les victimes de ce type d’arnaque auront beaucoup de mal à prouver que ces outils systèmes sont faux. Sur ce domaine, les cybercriminels exploitent les lacunes législatives de la zone grise d’Internet."

 

Les moyens de propagation de ces scarewares sont multiples. Un possible moyen d’infection est le drive by download à partir d’un site Internet contaminé. Mais le programme peut aussi être diffusé par un fichier joint à un email.

Win HDD en action

La variante la plus récente s’appelle Win HDD. Les experts du G Data SecurityLabs montrent l’effet de ce faux logiciel dans une vidéo disponible ici .

Comme il est possible de le voir dans cette vidéo, ce faux logiciel a un fonctionnement très proche d’un faux antivirus : une fois installé, le programme génère de fausses alertes à l’utilisateur et l’invite continuellement à acheter la version complète.

Vrai moyen de paiement pour faux logiciel

Le système de paiement mis en place par les créateurs de ce scareware imite parfaitement les systèmes officiels. Ainsi, comme il est possible de le voir à la fin de la vidéo, la fenêtre de paiement contient la barre verte, le cadenas et le préfixe HTTPS devant l’adresse Internet. Tous ces signes sont faux, jusqu’à l’adresse affichée !

L’adresse réelle est totalement différente, mais contient tout de même un certificat SSL enregistré en septembre 2010 auprès de Comodo. Il est fort probable qu’il s’agisse d’une version gratuite 90 jours. Ce certificat est valable jusqu’au 28 décembre 2010. Une information qui montre le côté éphémère, mais très structuré de cette arnaque.