Un malware désactive la navigation sécurisée de Firefox

On découvre chez Malwarebytes qu'une série de malwares bidouillent les paramètres de Firefox pour en supprimer la navigation sécurisée. Mintcast (qui n'a rien à voir avec le webcast de la communauté Linux Mint du même nom) et son homologue Shell&Services sont deux malwares qui s'installent en ajoutant un pilote (leur permettant de s'injecter ailleurs via le réseau LAN) et en modifiant des fichiers système.

Dans le cas où ils trouveraient une installation de Firefox, ils s'amusent à créer un fichier user.js dans le répertoire du profil par défaut du navigateur (si le fichier n'existe pas déjà) qui contient ces lignes :

user_pref(“browser.safebrowsing.downloads.enabled”, false);
user_pref(“browser.safebrowsing.enabled”, false);
user_pref(“browser.safebrowsing.malware.enabled”, false);

De quoi désactiver la navigation sécurisée, ouvrant les portes aux sites reconnus comme étant des contrefaçons ou carrément à risque. Certaines variantes ajoutent aussi cette ligne :

user_pref(“xpinstall.signatures.required”,false);

Cette dernière permettant à des modules (extensions) non certifiés de s'installer. Il se peut que certains apprécient de pouvoir utiliser des modules même s'ils ne rentrent pas dans les critères de Mozilla, mais ils devraient avoir le choix et ne pas en passer par un malware ou virus pour ouvrir le choix à leur place.

A noter que ces fichiers ne permettent pas de modifier ces choix dans les paramètres du navigateur. Cocher les cases qui ont été décochées ne donnera rien, tout sera de nouveau décoché au prochain démarrage. Il faudra alors nettoyer complètement le PC de ces malwares (c'est la que Malwarebytes fait sa pub), supprimer le fichier user.js (dans C:\Utilisateurs\{nom de l'utilisateur}\AppData\Roaming\Mozilla\Firefox\Profiles\{profil}) et vous pourrez alors de nouveau utiliser votre navigateur en toute tranquillité. Une simple vérification dans les paramètres de Firefox vous permettra de vous assurer que les deux cases mises en avant dans la capture qui suit sont bien cochées et que vous ne risquez rien.