Kmspico / KMSAuto et les trojans

Kmspico est un outil de piratage ou crack qui permet d’activer des logiciels Microsoft comme Windows et Office.
Ce dernier fonctionne toutes les versions de Windows 7, 8.1, 10 et Office 2010, 2013 et 2016.
Pour plus d’informations sur le fonctionnement et principe de ce dernier, lire la page : KMSPico : activation de Windows de manière illégale

Comme tout programme pour cracker des logiciels, la notoriété est utilisé pour distribuer des versions vérolés.
Le but est de mettre en ligne des versions de KMPico qui mène à toute sorte de logiciel malveillants.
Cette page montre comment ces versions de KMSpico vérolées sont distribuées afin d’infecter les internautes.

Kmspico / KMSAuto et les trojans

Initialement, KMSpico est détecté en Hacktool (outils dit de hack) par les antivirus non pas parcequ’il s’agit d’un virus, cheval de troie ou autres menaces.
Il s’agit plutôt d’une détection économique qui vise à protéger les programmes Microsoft ou prévenir lorsque des outils pour cracker ces logiciels sont utilisés.
Ainsi, si vous avez installé KMSpico sur votre ordinateur alors votre antivirus risque d’émettre des alertes.

Voici une liste des détections que l’on peut rencontrer par les éditeurs d’antivirus.
La plupart des détections données sont HackTool:Win32/AutoKMS ou Win32/AutoKMS.

Antivirus	Result	Update
AVware	Trojan.Win32.Generic!BT	20160503
Antiy-AVL	Trojan/Win32.BTSGeneric	20160503
Avast	Other:PUP-gen [PUP]	20160503
ESET-NOD32	a variant of MSIL/HackTool.IdleKMS.C potentially unsafe	20160503
GData	Win32.Application.Agent.NMVC0D	20160503
K7AntiVirus	Unwanted-Program ( 004d4d631 )	20160502
K7GW	Unwanted-Program ( 004d4d631 )	20160503
McAfee	Artemis!53713D4DB89B	20160503
McAfee-GW-Edition	BehavesLike.Win32.PUP.th	20160503
Microsoft	HackTool:Win32/AutoKMS	20160503
Sophos	KMS Activator (PUA)	20160503
Symantec	Trojan.Gen.2	20160503
VIPRE	Trojan.Win32.Generic!BT	20160503

Par exemple, ci-dessous Windows Defender qui détecte KMSpico en Hacktool:MSIL/AutoKMS dans la majorité des fichiers de ce logiciel de piratage.

Kmpisco est assez populaire et donc comme tous ces cracks des personnes malveillants peuvent profiter de la situation pour tenter de pousser des malwares.
Tout comme il existe de faux sites KickAssTorrents, de faux sites proposant KMSPico ont été mis en ligne et qui sont diablement bien placés sur Google puisqu’on les trouve dans les premiers résultats.

Ces sites se ressemblent tous en effet, l’auteur a multiplié ces derniers pour maximiser les chances que les internautes tombent dessus.

KMSpico, adware et trojan Miner

Sur les forums de désinfection informatique, on constate beaucoup d’internautes qui se font piéger par ces faux sites KMSpico et qui demandent à désinfecter leurs ordinateurs.
Parmi les malwares présents, on trouve généralement :

• Hijacker Proxy, un programme qui installe un proxy sur l’ordinateur. Cela permet de falsifier les pages visitées, injecter des publicités, générer des redirections, etc
• Des Trojans Miner qui utilisent l’ordinateur miner des crypto-monnaies
• et bien sûr, toutes sortes de PUPs ou Adwares

Ces derniers mènent systématiquement à la plateforme de programmes indésirables et adwares : Amonetize
Et pire pour certains autres sites qui mènent en plus à des Trojans plus sophistiqués.

Kmspico et les trojans

J’ai d’ailleurs fait une vidéo en démonstration de ces pièges présents sur la toile :

Sur la vidéo, c’est le Trojan Boaxxe qui est poussé mais bien entendu avec le temps, les liens peuvent mener à d’autres menaces.

Quelques autres faux sites liés à KMSPico :

198.143.129.108 :
http://kmspi.co/
Microsoft Toolkit 3.0.1 [Latest Update]

http://kmspicodownload.com/
http://removewatdownload.net/
http://download.kmspicofinal.com/
http://windows10activatordownload.com/
http://www.kmspi.co/
http://officeactivator.com/
http://download.officeactivator.com/

162.144.20.148 :
www.kmspicoactivator.org
www.windows7activator.org
windows7activator.org
kmspicoactivator.org

La conclusion de tout cela, est que lorsqu’on tenter de cracker ses logiciels, il faut bien choisir ses sites car les pièges sont vraiment fréquents.
Depuis des années et des années, de faux cracks sont mis en lignes pour pousser des malwares, plus d’informations : Le danger des cracks et keygen

Faux sites KMSAuto et Windows Loader

Même procédés avec de faux sites KMSAuto qui est un autre logiciel similaire à KMSPico.
Là aussi, les premières sites en résultat de recherche Google conduisent à des installeurs malicieux.

ou encore « Windows Loader by Daz » qui est un autre utilitaire connu pour cracker Windows.
On reconnaît la charte graphique de celui-ci qui est la même que pour KMSPico.

Les deux suivants installent un Trojan RAT qui permet de contrôler l’ordinateur et récupérer les mots de passe enregistrés dans les navigateurs internet.

EDIT – KMSpico et PUP.Optional.PrxySvrRST

Beaucoup d’internautes sont touchés par un logiciel malveillant qui installe un proxy afin de manipuler les pages visitées.

AdwCleaner peut détecter ce dernier en PUP.Optional.PrxySvrRST, toutefois, afin de pouvoir supprimer entière les paramètres de Proxy.
Il faut activer dans les paramètres d’AdwCleaner la réinitialisation du proxy sinon Malwarebytes Anti-malware peut faire le boulot.