Google AdSense est un programme publicitaire, accessible à tous, qui affiche sur votre site des publicités contextuelles, dont le contenu est censé entretenir un rapport avec le contenu de vos pages. L'affichage des publicités se faitau moyen de quelques lignes de code fournies par Google et combinant HTML et JavaScript. C'est l'exécution de ce code qui lance un appel vers les serveurs de Google afin de déterminer quelles sont les publicités à afficher après analyse du contenu.
Ce cheval de Troie, baptisé Trojan.Qhost.WU, opère une modification sur le fichier « hosts » des systèmes d'exploitation. A chaque tentative de connexion vers un serveur distant, ce fichier est consulté afin de vérifier qu'une adresse IP n'est pas déjà associée à un nom de domaine, avant qu'une requête soit envoyée aux serveurs DNS qui se chargent habituellement de la redirection des internautes. Aujourd'hui inutile, ou presque, le fichier hosts n'est plus guère utilisé que pour interdire l'accès à certains sites, dans le cadre par exemple d'un contrôle parental.
Ici, le fichiers hosts est modifié de façon à ce que le script AdSense n'appelle pas les serveurs de Google (pagead2.googlesyndication.com) mais le serveur de l'attaquant, à partir duquel celui-ci diffusera le message de son choix.
L'affaire est ennuyeuse pour Google, bien sûr, mais également pour les internautes que cette usurpation met en danger, ainsi que pour les annonceurs et webmasters qui font confiance au programme publicitaire du numéro un mondial des moteurs de recherche. Ce cheval de Troie ne semble cependant pas opposer de résistance aux programmes de désinfection les plus courants.
