5/5 - (2 votes)

Pirate de navigateur internet.

Browser hijacker est une infection qui modifie certains paramètres de vos navigateurs internet.

Il s’agit généralement d’effectuer une redirection du trafic à partir des pages de démarrage et/ou de recherches vers un serveur dédié qui collecte des renseignements sur vos habitudes de navigations.

Le détournement peut se faire via un argument placé dans la cible du raccourci du navigateur. Il s’installe généralement à votre insu via le téléchargement de gratuiciels ou d’extensions de navigateur. L’objectif est de gagner de l’argent en générant du trafic Web. Ces redirections peuvent ralentir la navigation internet et provoquer des affichages publicitaires intempestifs et fréquents qui viennent perturber la lisibilité des pages web.

Ce programme se classe dans la catégorie des Logiciels Potentiellement Superflus (LPS). Il s'installe en tant que programme et/ou en tant qu'extension de navigateur. Il peut démarrer automatiquement depuis la Base de Registres via une clé "Run", un service ou une tâche planifiée. Il peut se lancer au démarrage de votre navigateur après modification de ses paramètres. Quelquefois le lancement se fait de façon silencieuse, c'est à dire qu'il travaille en tâche de fond. L'analyse virale de ce logiciel ne montre pas de détection malware.

Il s’agit principalement de programmes légitimes qui ne sont pas forcément nécessaires au bon fonctionnement de votre système. La multiplication de programmes lancés au démarrage du système peut provoquer des lenteurs dans l’exécution des tâches ordinaires du système mais aussi lors de la navigation internet. A noter que certains programmes sont issus de téléchargements avec repaquetage, une technique qui consiste à proposer d'autres logiciels en cours d'installation. Ces programmes annexes sont évidemment superflus, ils peuvent même s’installer à votre insu. Il est recommandé de bien lire le CLUF avant toute installation de logiciel empaqueté. Avant de cliquer, vérifier la pertinence des cases pré-cochées qui vous sont proposées.

Redirection via le fichier Manifest.

Généralement votre navigateur utilise un fichier de préférence, c’est le cas notamment de Google Chrome. Lorsque l’on installe une extension de navigateur, un dossier est crée et certaines informations sont disponibles dans un fichier nommé manifest.json. Dans ce fichier, une redirection peut être activée avec le remplacement de la valeur « update_url » par une autre adresse comme par exemple « https://search.offerbox.com/fr/results/ »

Cas d’une extension légitime :
G2 – GCE: Preference[User Data\Default] [oolpphfmdmjbojolagcbgdemojhcnlod] Palette for Chrome update_url : https://clients2.google.com/service/update2/crx

Cas d’une extension légitime avec recherche redirigée :
G2 – GCE: Preference [User Data\Default] [oolpphfmdmjbojolagcbgdemojhcnlod] Palette for Chrome update_url : « https://search.offerbox.com/fr/results/ »

Cas d’une extension indésirable :
G2 – GCE: Preference [User Data\Default] [nfedoihopcjdfjihhhojdclnfdgomdho] __MSG_ExtnName__update_url : « https://mynamedomain.koko »

Redirection via l’ajout de plugin.

Navigateur Firefox :

M0 – MFSP: prefs.js [Coolman – 2o9xi33i.default] https://navigateur.org
M0 – MFSP: prefs.js [Coolman – fjgxhey2.default] www.bugzze.com
M1 – SPR:Search Page Redirection – C:\Program Files\Mozilla Firefox\browser\searchplugins\dosearches.xml
M3 – MFPP: Plugins – [Coolman] — C:\Users\Coolman\AppData\Roaming\Mozilla\Firefox\Profiles\coolman.default\searchplugins\bugzze.xml

Navigateur Chrome :
G0 – GCSP: Secure Preferences [User Data\Default][HomePage] https://homepage-web.com/
G1 – GCS: Preference [User Data\Default] https://www.dosearches.com/

Navigateur Internet Explorer :
R0 – HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = https://www.hao123.com
R0 – HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = https://www.hao123.com
R1 – HKLM\SOFTWARE\Microsoft\Internet Explorer\AboutURLs,Tabs = https://search.protectedio.com/
R1 – HKLM\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\AboutURLs,Tabs = https://search.protectedio.com/

Navigateur Opera :
B0 – SPO: operaprefs.ini [Coolman] Home URL=https://www.bugzze.com
B0 – SPO: operaprefs.ini [Coolman] Home URL=https://www.searcheo.fr
B1 – OSP: search.ini [Coolman] URL=https://www.searcheo.fr

< Redirection par clé SearchScopes :

O69 – SBI: SearchScopes [HKCU] {BB74DE59-BC4C-4172-9AC4-73315F71CFFE} – (WebSearch) – https://websearch.mocaflix.com
O69 – SBI: SearchScopes [HKCU] {20B9D1AE-AD1A-38B4-87FE-AF278DA9861D} [DefaultScope] – (psearch) – https://search.protectedio.com/

Alias

AdWare.BHO.WVE [F-Secure] Keenfinder.com redirector
Adware:Win32/OpenCandy [Microsoft] Spyware.VMNToolbar
Hijacker.ChercheUS
PUP.Optional.WhiteSmoke.A [Malwarebytes] Adware.IPNetwork