Een valse versie van Flash Player die door oplettende gebruikers eenvoudig is te herkennen, is toch meer dan 70.000 keer gedownload, reden voor Microsoft om een waarschuwing af te geven. Hoe de malware precies wordt verspreid is onbekend, maar het doet zich voor als het bestand FlashPlayer.exe. Zodra de gebruiker het bestand opent verschijnt er een gebruikersovereenkomst van Flash Player 11.

Een deel van de tekst is in het Turks en ook ontbreekt de scrollbar. De tekst loopt echter wel door en laat weten dat de software de startpagina wijzigt. Zodra de gebruiker akkoord gaat downloadt het programma een echte Flash Player-versie die het vervolgens installeert. Eenmaal actief wijzigt de Trojan de startpagina van Firefox, Google Chrome. Internet Explorer en Yandex.

De nieuw ingestelde website is een zoekmachine, hoewel er ook pop-up advertenties worden getoond die gebruikers naar specifieke websites doorsturen.

Scam
"Het is een redelijk eenvoudige list, misleidende bestandsnaam, misleidende grafische gebruikersinterface, opzettelijk ontoegankelijke gebruikersovereenkomst, misleidende bestandseigenschappen, en sommige bestanden zijn zelfs niet gesigneerd. En toch kregen we vorige week meer dan 70.000 meldingen van deze malware", aldus Microsoft's Jonathan San Jose.

Hij merkt op dat social engineering niet zeer geraffineerd hoeft te zijn om te slagen. "Wees alert is nu de boodschap. Als je denkt dat iets niet goed 'voelt', zoals een ontbrekende scrollbar, kan dat weleens kloppen. Luister naar dat gevoel en gebruik het om je te beschermen door 'nee' te zeggen tegen content die je niet vertrouwt."