Yontoo.1 è un nuovo cavallo di Troia per Mac

Chiudete i boccaporti, scappate sulle colline più alte, una nuova minaccia per Mac si nasconde nel tempestoso mare di Internet: è stato scoperto un inedito malware chiamato Trojan.Yontoo.1, individuato dai russi di Dr.Web, gli stessi che lo scorso anno hanno identificato Flashback.

Come sempre, quando si parla di malware per OS X, il pericolo più grande viene dal comportamento dell’utente. Infatti, per poter essere infettati da Yontoo bisogna visitare una pagina Web appositamente realizzata che offre l’allettante possibilità di visualizzare film, quindi una volta cliccato sul link del file (nella foto d’esempio il film “Tutti i santi giorni” di Paolo Virzì), appare un messaggio che  avvisa che è necessario scaricare un plug-in da una pagina Web. Naturalmente il plug-in non è altro che Trojan.Yontoo.1.

Secondo quanto riferito da Dr.Web, il trojan può essere camuffato anche da lettore multimediale o da programma per il miglioramento dei file video.

Una volta lanciato il file scaricato, il cavallo di Troia genera una finestra di dialogo che invita ad installare il malware, e appena l’utente preme il pulsante Continua, il Trojan scarica il plugin Yontoo per Safari, Chrome e Firefox.

Il plugin trasmette le informazioni sulle pagine visitate dall’utente e aggiunge banner pubblicitari di terze parti in queste pagine, che probabilmente servono per “rubare” dati sensibili come il numero della carta di credito della vittima. Nella foto qui sotto un esempio delle pubblicità malicius aggiunte alla pagina Web del sito Apple americano visualizzato con una versione di Safari infettata. 

Trattandosi di una estensione per Safari, per poter rimuovere Yontoo è sufficiente selezionare Safari/Preferenze/Estensioni, quindi cliccare sul pulsante Disinstalla. Lo stesso bisogna fare con Firefox (Strumenti/Componenti aggiuntivi/Estensioni) e Chrome (Preferenze/Estensioni).

Una nota importante: ho trovato e installato Yontoo sul mio Mac, e andando nella sezione Estensioni di Safari, Firefox e Chrome ho scoperto un altro plug-in che prima non avevo, Torrenthandler, che va disinstallato insieme a Yontoo, nel caso fosse stati infettati.