WinFixer

La infección solía producirse al visitar un sitio web de distribución mediante un navegador. Aparecía un mensaje en un cuadro de diálogo o ventana emergente preguntando al usuario si deseaba instalar WinFixer, o bien indicando que su equipo estaba infectado con malware y solicitándole que realizara un análisis gratuito. Si el usuario elegía alguna de las opciones o intentaba cerrar el cuadro de diálogo (haciendo clic en «Aceptar», «Cancelar» o en la «X» de la esquina), se abría una ventana emergente y WinFixer se descargaba e instalaba automáticamente, independientemente de la voluntad del usuario.

En ocasiones, aparecía una oferta de "prueba" gratuita de este programa en ventanas emergentes. Si se descargaba e instalaba la versión de "prueba", esta realizaba un "análisis" del equipo local y detectaba un par de troyanos y virus inexistentes, pero el programa no tomaba ninguna otra medida. Para ponerlo en cuarentena o eliminarlo, WinFixer requería la compra del programa. ^{[ 5 ]} Sin embargo, los supuestos errores no deseados eran falsos y solo servían para persuadir al usuario a comprar el programa.

Una vez instalado, WinFixer mostraba con frecuencia ventanas emergentes que solicitaban al usuario seguir sus instrucciones. Debido a la compleja forma en que el programa se instalaba en el equipo (incluyendo docenas de modificaciones en el registro), su eliminación manual habría llevado bastante tiempo. Al ejecutarse, su proceso podía encontrarse en el administrador de tareas y detenerse, pero se reiniciaba automáticamente después de un tiempo.

También se sabía que WinFixer modificaba el Registro de Windows para que se iniciara automáticamente con cada reinicio y escaneara el ordenador del usuario. ^{[ 6 ]}

El navegador Mozilla Firefox era vulnerable a la infección inicial por WinFixer. Una vez instalado, WinFixer explotaba la extensión SessionSaver del navegador Firefox . El programa provocaba ventanas emergentes al iniciar el navegador, solicitando al usuario que descargara WinFixer, mediante la adición de líneas que contenían la palabra "WinFixer" al archivo prefs.js.

La eliminación de WinFixer resultó difícil porque deshacía activamente cualquier intento del usuario. Con frecuencia, los procedimientos que funcionaban en un sistema no funcionaban en otro debido a la gran cantidad de variantes existentes. Algunos sitios web ofrecían técnicas manuales para eliminar infecciones que las herramientas de limpieza automatizadas no podían eliminar. ^{[ 7 ]}

WinFixer estaba estrechamente relacionado con el programa secuestrador/spyware Nail.exe de Aurora Network. En el peor de los casos, se incrustaba en Internet Explorer y se convertía en parte del programa, lo que hacía casi imposible eliminarlo. El programa también estaba estrechamente relacionado con el troyano Vundo . ^{[ 4 ] [ 10 ]}

Windows Police Pro era una variante de WinFixer. ^{[ 11 ]} David Wood escribió en Microsoft TechNet que en marzo de 2009, el Centro de protección contra malware de Microsoft detectó ASC Antivirus, la primera versión del virus. Microsoft no detectó ningún cambio en el virus hasta finales de julio de ese año, cuando apareció una segunda variante, Windows Antivirus Pro. Aunque desde entonces han aparecido varias versiones nuevas del virus, este solo ha sido renombrado una vez, a Windows Police Pro. Microsoft añadió el virus a su Herramienta de eliminación de software malintencionado en octubre de 2009. ^{[ 12 ]}

El virus generó numerosas ventanas emergentes y mensajes persistentes que mostraban informes de análisis falsos, con la intención de convencer a los usuarios de que sus computadoras estaban infectadas con diversas formas de malware inexistentes. Cuando los usuarios intentaban cerrar el mensaje emergente, recibían cuadros de diálogo de confirmación que intercambiaban los botones "Comprar versión completa" y "Continuar evaluando". ^{[ 12 ]} Windows Police Pro generó un Centro de seguridad de Windows falsificado que advertía a los usuarios sobre el malware falso. ^{[ 13 ]}

Bleeping Computer y la columna sindicada "Propeller Heads" recomendaron usar Malwarebytes Anti-Malware para eliminar Windows Police Pro de forma permanente. ^{[ 12 ] [ 14 ]} Microsoft TechNet y Softpedia recomendaron usar la Herramienta de eliminación de software malintencionado de Microsoft para eliminar el malware. ^{[ 12 ] [ 15 ]}

El 29 de septiembre de 2006, una mujer de San José presentó una demanda contra WinFixer y un software fraudulento relacionado ante el Tribunal Superior del Condado de Santa Clara ; sin embargo, en 2007 la demanda fue desestimada. En la demanda, los demandantes alegaron que el software WinFixer "finalmente dejó inutilizable el disco duro de su computadora. El programa que infectaba su computadora también expulsó su unidad de CD-ROM y mostró advertencias de virus". ^{[ 16 ] [ 17 ] [ 18 ]}

El 18 de febrero de 2007, un blog llamado "Spyware Sucks" informó que la popular aplicación de mensajería instantánea Windows Live Messenger había promocionado inadvertidamente a WinFixer al mostrar un anuncio de WinFixer de uno de los proveedores de publicidad de Messenger . ^{[ 19 ]} También se informó de un incidente similar en algunas páginas de MSN Groups . Hubo otros informes anteriores (uno de Patchou, ¡el creador de Messenger Plus! ), y algunas personas se pusieron en contacto con Microsoft sobre los incidentes. Whitney Burk de Microsoft hizo público este problema en su declaración oficial:

Microsoft fue notificado sobre la presencia de malware distribuido a través de anuncios en banners de Windows Live Messenger. Tras esta notificación, investigamos de inmediato los informes y eliminamos los anuncios infractores, ya que esto constituye una violación de nuestra política de publicación de anuncios. Confirmamos que dichos anuncios ya no se muestran en ningún sistema de Microsoft. Pedimos disculpas por las molestias ocasionadas y estamos revisando nuestro proceso de aprobación de anuncios para reducir la probabilidad de que se repita un incidente similar. Para ayudar a los usuarios a proteger sus equipos de las amenazas de malware, Microsoft recomienda seguir nuestra guía «Proteja su PC» en www.microsoft.com/protect .

El 2 de diciembre de 2008, la Comisión Federal de Comercio solicitó y obtuvo una orden de restricción temporal contra Innovative Marketing, Inc., ByteHosting Internet Services, LLC y los individuos Daniel Sundin, Sam Jain , Marc D'Souza, Kristy Ross y James Reno, creadores de WinFixer y sus productos relacionados. La demanda alegaba que la publicidad de los productos, así como los productos mismos, violaban las leyes de protección al consumidor de Estados Unidos. ^{[ 20 ]} Sin embargo, Innovative Marketing desobedeció la orden judicial y fue multada con 8000 dólares diarios por desacato civil. ^{[ 21 ]}

El 24 de septiembre de 2012, Kristy Ross fue multada con 163 millones de dólares por la Comisión Federal de Comercio por su participación en esto. ^{[ 22 ] [ 23 ]} El artículo continúa diciendo que la familia de software WinFixer era simplemente una estafa, pero no reconoce que, de hecho, era un programa que hacía que muchas computadoras fueran inutilizables.