Já há alguns anos, os criadores de malware instalam programas maliciosos em PCs para tentar daná-los e conseguir assim certa notoriedade com uma possível propagação em massa. No entanto, agora, o objetivo é modificar certos parâmetros no PC da vítima conseguindo assim que este acesse serviços que lhe proporcionem rendimentos econômicos.

Isso é o que pretende fazer o trojan “Trojan.Qhost.WU“, que acrescenta uma entrada no arquivo “etc/hosts” de um PC com “MS Windows” (é o arquivo que pode determinar a direção IP à que se atribui um determinado domínio) para fazer que as petições ao servidor “pagead2.googlesyndication.com” (utilizado por Google para seu sistema publicitário) realizem-se a outro, propriedade do atacante.

O servidor “pagead2.googlesyndication.com” é o que serve o código JavaScript que é inserido pelos webmasters afiliados ao AdSense. Desta maneira, com uma simples modificação de uma linha num arquivo (que, ademais, passa inadvertido para muitos usuários), o atacante pode fazer que a vítima veja, em lugar de publicidade do AdSense, outros anúncios pelos quais vai ser ele quem receba os rendimentos econômicos as custas do próprio Google e do webmaster da página que a vítima do trojan estiver visitando.

Esta não é a primeira vez que o sistema publicitário AdSense é vítima de um trojan deste tipo. Em dezembro de 2005 um programa malware se instalava nos navegadores web e modificava o código gerado pelos servidores do Google para mudar o código original do AdSense de qualquer página que visitava a vítima pelo código do atacante que assim ficava com os rendimentos de cada click.

Em maio de 2006 descobriu-se uma rede de trojans que tinham logrado instalar-se em 34 mil PCs, os quais faziam cliques fraudulentos nos anúncios AdSense mostrados nos sites de seus criadores, para desta maneira conseguir aumentar seus rendimentos.