Secuestro de navegador

Algunos programas de seguridad maliciosos también secuestran la página de inicio, mostrando generalmente un mensaje como "¡ADVERTENCIA! ¡Su ordenador está infectado con spyware!" para redirigir al usuario a la página de un proveedor de software antispyware. La página de inicio vuelve a su configuración normal una vez que el usuario compra el software. Se sabe que programas como WinFixer secuestran la página de inicio del usuario y lo redirigen a otro sitio web.

El Sistema de Nombres de Dominio ( DNS) se consulta cuando un usuario escribe el nombre de un sitio web (por ejemplo, wikipedia.org) y, si existe, devuelve la dirección IP del sitio web. Si el usuario escribe mal el nombre del sitio web, el DNS devolverá una respuesta de Dominio Inexistente (NXDOMAIN).

Históricamente, algunos proveedores de servicios de Internet (ISP), como EarthLink en 2006, interceptaban las respuestas NXDOMAIN a nivel de servidor para redirigir a los usuarios a páginas de búsqueda con mucha publicidad, lo que generó importantes preocupaciones sobre la privacidad.[6] En las redes modernas, esta práctica ha disminuido considerablemente debido a la adopción generalizada de protocolos DNS cifrados (como DoH y DoT) y al manejo de errores a nivel de navegador, que impiden que los ISP manipulen las consultas de dominio no resueltas. ^{[ 6 ]}

Los programas no deseados a menudo no incluyen ninguna señal de que están instalados, ni instrucciones para desinstalarlos o cancelar su suscripción. ^{[ 2 ]}

La mayoría de los programas de secuestro de navegador modifican constantemente la configuración del navegador, lo que significa que las preferencias del usuario se ven anuladas. Algunos programas antivirus identifican el software de secuestro de navegador como software malicioso y pueden eliminarlo. Algunos programas de análisis de spyware incluyen una función de restauración del navegador para restablecer la configuración normal del usuario o alertarlo cuando se modifica la página que está visitando.

Babylon Toolbar es un secuestrador de navegador que cambia la página de inicio y establece isearch.babylon.com como motor de búsqueda predeterminado. También es un tipo de adware . Muestra anuncios, enlaces patrocinados y resultados de búsqueda pagados falsos. El programa también recopila los términos de búsqueda de las consultas realizadas.

El software de traducción de Babylon solicita agregar la barra de herramientas de Babylon durante la instalación. La barra de herramientas también viene incluida como complemento con otras descargas de software. ^{[ 12 ]}

En 2011, el sitio de CNet Download.com comenzó a incluir la barra de herramientas Babylon con paquetes de código abierto como Nmap . Gordon Lyon , el desarrollador de Nmap, se mostró molesto por la forma en que se engañó a los usuarios de su software para que utilizaran la barra de herramientas. ^{[ 13 ]} El vicepresidente de Download.com, Sean Murphy, emitió una disculpa: « La inclusión de este software fue un error por nuestra parte y pedimos disculpas a las comunidades de usuarios y desarrolladores por el malestar que causó». ^{[ 14 ]}

Existen variantes similares de la barra de herramientas y la página de inicio de búsqueda de Babylon, entre las que se incluyen: Bueno Search, Delta Search, Claro Search y Search GOL. Todas estas variantes indican en sus términos de servicio que pertenecen a Babylon.

Todas las barras de herramientas fueron creadas por Montiera. ^{[ 15 ]}

Conduit es un secuestrador que roba información personal y confidencial del usuario y la transfiere a un tercero. Esta barra de herramientas ha sido identificada como Programa Potencialmente No Deseado (PUP) por Malwarebytes ^{[ 16 ]} y generalmente se incluye con descargas gratuitas. ^{[ 17 ] [ 18 ]} Estas barras de herramientas modifican el motor de búsqueda predeterminado del navegador, la página de inicio, la página de nueva pestaña y varias otras configuraciones del navegador. Hay variantes similares de la búsqueda de Conduit como trovi.com, trovigo.com, better-search.net, seekforsearch.com, searchitdown.com, need4search.com, clearsearches.com, search-armor.com, searchthatup.com, premiumsearchweb.com, junto con otras variantes que fueron creadas de forma personalizada para el servicio de creación de barras de herramientas que solía ofrecer Conduit Ltd.

Un programa llamado "Conduit Search Protect", más conocido como "Search Protect by conduit", puede causar graves errores del sistema al desinstalarse. Afirma proteger la configuración del navegador, pero en realidad intenta bloquear los cambios a la configuración maliciosa. Search Protect tiene una opción para cambiar la página de inicio de búsqueda de la página de inicio de búsqueda "recomendada" Trovi, pero los usuarios han informado que vuelve a cambiar a Trovi después de un tiempo. El programa de desinstalación de Search Protect puede hacer que Windows no arranque porque el archivo de desinstalación no solo elimina sus propios archivos, sino también todos los archivos de arranque en la raíz de la unidad C: y deja un archivo BackGroundContainer.dll en el registro de inicio. ^{[ 19 ]} Conduit está asociado con malware , spyware y adware , ya que las víctimas de este secuestrador han informado de ventanas emergentes no deseadas y anuncios incrustados en el texto, en sitios sin anuncios.

Perion Network Ltd. adquirió el negocio ClientConnect de Conduit a principios de enero de 2014, ^{[ 20 ]} y posteriormente se asoció con Lenovo para crear Lenovo Browser Guard, ^{[ 21 ]} que utiliza componentes de Search Protect.

Las víctimas de redirecciones no deseadas a conduit.com también han informado haber sido víctimas de intentos de phishing y haber recibido correo basura no deseado, llamadas telefónicas de teleoperadores y otro tipo de spam. Algunas víctimas afirman que quienes llamaban se hacían pasar por Apple, Microsoft o su proveedor de servicios de Internet (ISP) , y que se les decía que se había utilizado información personal en algunas llamadas, y que algunas de ellas se referían a sus hábitos de navegación y su historial de navegación reciente. La información personal recopilada por este tipo de software espía se utiliza con frecuencia en campañas de ingeniería social y phishing altamente dirigidas. ^{[ 22 ]}

El secuestrador de navegador istarsurf.com puede reemplazar las herramientas de búsqueda preferidas. Esta infección se distribuye junto con aplicaciones de terceros y su instalación puede ser silenciosa. Debido a esto, los usuarios afectados no se dan cuenta de que el secuestrador ha infectado sus navegadores Internet Explorer , Google Chrome o Mozilla Firefox . ^{[ 23 ]}

Search-daily.com es un secuestrador de navegador que puede ser descargado por el troyano Zlob . Redirige las búsquedas del usuario a sitios pornográficos . También se sabe que ralentiza el rendimiento del ordenador. ^{[ 24 ]}

Snap.do (Smartbar, desarrollado por Resoft) es un posible malware, clasificado como secuestrador de navegador y spyware, que provoca que los navegadores web redirijan al motor de búsqueda snap.do. Snap.do se puede descargar manualmente desde el sitio web de Resoft, aunque la mayoría de los usuarios caen en la trampa al venir incluido con otro software y se instala sin querer. Afecta a Windows y se puede eliminar a través del menú Agregar o quitar programas. Snap.do también puede descargar numerosas barras de herramientas, complementos y plugins maliciosos como DVDVideoSoftTB, General Crawler y Save Valet.

Se sabe que General Crawler, instalado por Snap.do, utiliza un proceso de puerta trasera para reinstalarse y reactivarse cada vez que un usuario afectado lo elimina a través de su navegador o mediante el desinstalador integrado de Windows.

Snap.do desactivará la opción de cambiar la página de inicio y el motor de búsqueda predeterminado.

Resoft realizará un seguimiento de la siguiente información:

• El dominio de Internet y la dirección IP desde la que el usuario accede a los productos de Resoft (ubicación, ID, etc.).
• Resolución de pantalla del monitor (pantalla) del ordenador del usuario.
• La fecha y hora en que el usuario accede , intencional o involuntariamente, a los productos de Resoft.
• Las páginas que el usuario visita con los productos de Resoft (con o sin conocimiento del uso de los productos de Resoft, Snap.do)
• Si el usuario , voluntaria o involuntariamente, se conectó a un sitio web de Resoft desde otro sitio web de referencia, la dirección de ese sitio

Un instalador anterior de SourceForge incluía adware e instaladores de PUP. ^{[ 25 ]}

Un programa en particular modifica la configuración de los navegadores Firefox, Chrome e Internet Explorer para que muestren el sitio web "istartsurf.com" como página de inicio. Lo hace cambiando la configuración del registro y revirtiendo los cambios si el usuario intenta modificarlos.

El 1 de junio de 2015, SourceForge afirmó que había dejado de vincular "ofertas de terceros" con proyectos de SourceForge que no recibían mantenimiento. ^{[ 26 ]}

Un Trojan.WinLNK.Agent (también Trojan:Win32/Startpage.OS ) es la definición de Kaspersky Labs de un descargador , dropper o espía troyano . Su primera detección conocida se remonta al 31 de mayo de 2011, según el Centro de Protección contra Malware de Microsoft . Este troyano abre un navegador Internet Explorer en una página predefinida (como i.163vv.com/?96 ). Los archivos troyanos con la extensión LNK (expresión) son accesos directos de Windows a un archivo, programa o carpeta maliciosos. Un archivo LNK de esta familia ejecuta un ejecutable malicioso o puede ser instalado por otro malware . Estos archivos son utilizados principalmente por gusanos para propagarse a través de unidades USB (es decir). ^{[ 27 ] [ 28 ]} En 2016, India tuvo la mayor cantidad de incidentes relacionados con este troyano con un 18,36 % a nivel mundial. ^{[ 27 ]} 

Otros alias:

• Win32/StartPage.NZQ ( ESET ) ^{[ 28 ]}
• Trojan.WinLNK.Startpage ( Kaspersky Labs ) ^{[ 29 ]}
• Troyano:Win32/Startpage.OS ( Microsoft ) ^{[ 28 ]}

Otras variantes:

• Agente Troyano WinLNK.ae
• Troyano.WinLNK.Agent.ew ^{[ 30 ]}

Vosteran es un secuestrador de navegador que cambia la página de inicio y el proveedor de búsqueda predeterminado del navegador a vosteran.com. Esta infección viene integrada con otras aplicaciones de terceros. La identidad de Vosteran está protegida por privacyprotect.org de Australia. Vosteran está registrado a través de Whiteknight. ^{[ 31 ]}

Trovi es un secuestrador de navegador que se distribuye habitualmente a través de portales de descarga de terceros (como Download.com) y repositorios de software gratuito antiguos. Estas plataformas suelen incluir software no deseado en los instaladores de aplicaciones de código abierto o gratuitas legítimas, sin el consentimiento de los desarrolladores originales.

Trovi utiliza Bing (un motor de búsqueda legítimo) para mostrar los resultados al usuario. Aunque la barra de direcciones cambia a Bing.com al mostrar los resultados, las palabras clave se ejecutan a través de Trovi. Anteriormente, Trovi mostraba los resultados en su propio sitio web con el logotipo en la esquina superior izquierda, pero posteriormente cambió a Bing para intentar engañar a los usuarios con mayor facilidad. Trovi ya no es tan peligroso como antes, ya que elimina los anuncios de los resultados de búsqueda según el navegador utilizado, pero aún se considera un secuestrador de navegador.

También controla la configuración de la página de inicio y de la página de nueva pestaña para impedir que se puedan restaurar a la configuración original. Dependiendo del navegador que se utilice, pueden aparecer anuncios en la página.

Cuando infecta el ordenador de un usuario, hace que el navegador redirija desde Google y otros motores de búsqueda a trovi.com. ^{[ 32 ]}

Trovi se creó utilizando el servicio de creación de barras de herramientas Conduit y se sabe que infecta de forma similar a como lo hace la barra de herramientas Conduit.