Trojan.Ormes.186 ist eine Erweiterung für Mozilla Firefox, der aus drei JavaScript-Dateien besteht. Eine davon ist verschlüsselt und ist zum Anzeigen von Werbung gedacht. Die zwei anderen Dateien sind für die Einbettung der Werbefenster zuständig. Diese Technik wird als „Webinjects-Methode“ bezeichnet.
Die verschlüsselte Datei enthält den Hauptcode von Trojan.Ormes.186 zum Einschleusen fremder Inhalte in anvisierte Webseiten. Der Schädling verfügt über eine Liste mit über 200 Internetadressen, auf die er zugreifen kann. Darunter sind auch Job-Webseiten, beliebte Suchmaschinen und soziale Netzwerke.
Der Trojaner ist in der Lage, Mausklicks auf Webseiten zu simulieren. So kann der Schädling zum Beispiel kostenpflichtige Abos von Mobilfunkanbietern bestätigen. Beim Öffnen von Webseiten wie Yandex, VKontakte und Facebook lädt Trojan.Ormes.186 Malware von einer Webseite herunter und leitet Opfer zu Webseiten mit kostenpflichtigen Inhalten um. Außerdem blendet der Trojaner bei Suchtreffern Werbebanner ein. Auf Facebook-Seiten bettet er u.a. ein verdecktes iframe-Element ein und kann eigenmächtig „Likes“ setzen.
Des Weiteren ist der Trojan.Ormes.186 in der Lage, sich auf Online-Casino-Webseiten einzuloggen. Auch wenn eine Webseite anbietet, eine Applikation für soziale Netzwerke zu installieren, leitet der Trojaner den Benutzer automatisch weiter. Trojan.Ormes.186 loggt das Öffnen dieser Webseiten mit und simuliert Mausklicks, durch die die Installation ohne Zustimmung des Benutzers freigegeben wird.
Nutzer, die eine Verlangsamung des Firefox-Browsers oder verdächtige Werbung festgestellt haben, sollten ihre Endgeräte mit Anti-Virenschutzprogrammen überprüfen. Sollte ferner das Plug-in NetFilterPro mit der Beschreibung „Additional security for safe browsing experience“ im Browser auftauchen, empfehlen die Sicherheitsspezialisten von Dr.Web dieses umgehend zu entfernen.
