Searchtabs.io verfügt über einen Persistenzmechanismus

Searchtabs.io ist die URL einer gefälschten Suchmaschine. Bei der Untersuchung verdächtiger Websites stieß unser Team auf eine betrügerische Webseite, die Benutzer mit expliziten Inhalten zum Herunterladen eines Installations-Setups verleitete. Dieses spezielle Setup beinhaltete einen Browser-Hijacker, der die Nutzung der Website searchtabs.io fördert.

Während Software, die in diese Kategorie fällt, normalerweise die Browsereinstellungen ändert, um bestimmte Websites zu unterstützen, hat dieses Setup in unserer Testumgebung keine Änderungen am Browser vorgenommen. Es ist erwähnenswert, dass dieser Hijacker eine Technik verwendet, um seine Persistenz sicherzustellen, was es für Benutzer schwierig macht, die Kontrolle über ihre Browser zurückzugewinnen.

Nachdem wir das Setup zur Förderung von searchtabs.io auf unserem Testcomputer installiert hatten, stellten wir fest, dass es sich auf neue Browser-Registerkarten und -Fenster auswirkt. Immer wenn ein neuer Tab oder ein neues Fenster geöffnet wird, wird automatisch zu searchtabs.io weitergeleitet, wobei jede Weiterleitung eine zufällige Suchabfrage enthält.

Gefälschte Suchmaschinen werden als solche gekennzeichnet, weil sie in der Regel keine seriösen Suchergebnisse liefern und Nutzer stattdessen auf bekannte Internetsuchmaschinen wie Bing, Google oder Yahoo weiterleiten. Browser-Hijacking-Software neigt dazu, Weiterleitungen zu illegalen Suchmaschinen auszulösen, wenn Benutzer neue Tabs oder Fenster öffnen oder Suchanfragen in die URL-Leiste eingeben. Wie bereits erwähnt, unterscheidet sich das Verhalten des Browser-Hijackers, der searchtabs.io fördert, jedoch von der Norm.

Darüber hinaus verwendet diese Software eine Technik, um ihre Persistenz sicherzustellen. Diese Umleitungen werden durch einen Prozess namens „UITheme.exe“ initiiert. Durch das Beenden dieses Prozesses allein werden die Umleitungen jedoch nicht beseitigt. Der Browser-Hijacker nutzt ein Tool namens „ServiceUI“ aus dem Microsoft Deployment Toolkit, das sicherstellt, dass „UITheme.exe“ neu gestartet wird, selbst wenn es manuell über den Windows Task-Manager oder nach Systemneustarts beendet wird.

Was sind einige der häufigsten Methoden, die bösartige Software verwendet, um Persistenz zu erreichen?

Schadsoftware nutzt oft verschiedene Techniken, um auf einem kompromittierten System dauerhaft zu bleiben. Diese Methoden stellen sicher, dass die Malware auch nach Systemneustarts oder Entfernungsversuchen aktiv und betriebsbereit bleibt. Hier sind einige gängige Methoden zum Erreichen von Persistenz:

Startprogramme und -dienste: Malware kann Einträge zu Systemstartprogrammen oder -diensten hinzufügen und so sicherstellen, dass sie bei jedem Systemstart ausgeführt werden.
Registrierungsschlüssel: Malware kann die Windows-Registrierung ändern, um Schlüssel und Werte zu erstellen oder zu ändern, die die Malware beim Systemstart ausführen.
Geplante Aufgaben: Schädliche Software kann geplante Aufgaben erstellen, die in bestimmten Intervallen ausgeführt werden, sodass die Malware dauerhaft im Hintergrund ausgeführt werden kann.
Autostart-Speicherorte: Malware fügt sich möglicherweise zu Autostart-Speicherorten hinzu, z. B. zum Startordner im Startmenü oder zum Startordner im Verzeichnis „Alle Benutzer“.
Browsererweiterungen und Add-ons: Browserbasierte Malware wie Adware oder Browser-Hijacker können Erweiterungen oder Add-ons in Webbrowsern installieren, um das Surfen der Benutzer zu kontrollieren und zu manipulieren.
Diensterstellung: Schädliche Software kann neue Windows-Dienste erstellen oder bestehende manipulieren, um deren kontinuierlichen Betrieb sicherzustellen.
DLL-Injection: Malware kann sich in legitime Prozesse einschleusen oder ihre Dynamic Link Library (DLL) in Systemprozesse laden und so ihre Präsenz verschleiern.
Dateisystemänderungen: Malware kann versteckte oder Systemdateien und -ordner erstellen, um ihre Komponenten oder Konfigurationsdaten zu speichern, was die Erkennung erschwert.
Bootkit- oder Rootkit-Installation: Fortgeschrittene Malware kann Bootkits oder Rootkits installieren, die den Startvorgang oder das Kernbetriebssystem gefährden und es äußerst schwierig machen, sie zu erkennen und zu entfernen.