Το Searchtabs.io συνοδεύεται από μηχανισμό εμμονής

Το Searchtabs.io είναι η διεύθυνση URL μιας πλαστής μηχανής αναζήτησης. Κατά την εξέταση ύποπτων ιστότοπων, η ομάδα μας έπεσε πάνω σε μια παραπλανητική ιστοσελίδα που χρησιμοποιούσε άσεμνο περιεχόμενο για να δελεάσει τους χρήστες να κατεβάσουν μια εγκατάσταση εγκατάστασης. Αυτή η συγκεκριμένη ρύθμιση περιλάμβανε έναν αεροπειρατή προγράμματος περιήγησης που προωθεί τη χρήση του ιστότοπου searchtabs.io.

Ενώ το λογισμικό που εμπίπτει σε αυτήν την κατηγορία συνήθως αλλάζει τις ρυθμίσεις του προγράμματος περιήγησης για να εγκρίνει ορισμένους ιστότοπους, αυτή η ρύθμιση, στο περιβάλλον δοκιμών μας, δεν έκανε αλλαγές στο πρόγραμμα περιήγησης. Αξίζει να σημειωθεί ότι αυτός ο αεροπειρατής χρησιμοποιεί μια τεχνική για να διασφαλίσει την εμμονή του, γεγονός που καθιστά δύσκολο για τους χρήστες να ανακτήσουν τον έλεγχο των προγραμμάτων περιήγησής τους.

Μόλις εγκαταστήσαμε τη ρύθμιση που προωθεί το searchtabs.io στη δοκιμαστική μηχανή μας, ανακαλύψαμε ότι επηρεάζει νέες καρτέλες και παράθυρα του προγράμματος περιήγησης. Κάθε φορά που ανοίγει μια νέα καρτέλα ή παράθυρο, ανακατευθύνεται αυτόματα στο searchtabs.io, με κάθε ανακατεύθυνση να περιλαμβάνει ένα τυχαίο ερώτημα αναζήτησης.

Οι ψεύτικες μηχανές αναζήτησης χαρακτηρίζονται ως τέτοιες επειδή συνήθως δεν μπορούν να παράσχουν νόμιμα αποτελέσματα αναζήτησης και αντ' αυτού ανακατευθύνουν τους χρήστες σε γνωστές μηχανές αναζήτησης στο διαδίκτυο όπως το Bing, το Google ή το Yahoo. Το λογισμικό πειρατείας προγράμματος περιήγησης τείνει να ενεργοποιεί ανακατευθύνσεις σε μη νόμιμες μηχανές αναζήτησης όταν οι χρήστες ανοίγουν νέες καρτέλες ή παράθυρα ή εισάγουν ερωτήματα αναζήτησης στη γραμμή URL. Ωστόσο, όπως αναφέρθηκε προηγουμένως, η συμπεριφορά του αεροπειρατή του προγράμματος περιήγησης που προωθεί το searchtabs.io είναι διαφορετική από τον κανόνα.

Επιπλέον, αυτό το λογισμικό χρησιμοποιεί μια τεχνική για να εξασφαλίσει την εμμονή του. Αυτές οι ανακατευθύνσεις ξεκινούν μέσω μιας διαδικασίας γνωστής ως "UITheme.exe". Ωστόσο, ο τερματισμός αυτής της διαδικασίας από μόνος του δεν εξαλείφει τις ανακατευθύνσεις. Ο αεροπειρατής του προγράμματος περιήγησης χρησιμοποιεί ένα εργαλείο που ονομάζεται "ServiceUI" από το Microsoft Deployment Toolkit, το οποίο διασφαλίζει ότι το "UITheme.exe" επανεκκινείται ακόμη και αν τερματιστεί με μη αυτόματο τρόπο μέσω της Διαχείρισης εργασιών των Windows ή μετά από επανεκκινήσεις του συστήματος.

Ποιες είναι μερικές από τις κοινές μεθόδους που χρησιμοποιεί το κακόβουλο λογισμικό για την επίτευξη εμμονής;

Το κακόβουλο λογισμικό χρησιμοποιεί συχνά διάφορες τεχνικές για την επίτευξη επιμονής σε ένα παραβιασμένο σύστημα. Αυτές οι μέθοδοι διασφαλίζουν ότι το κακόβουλο λογισμικό παραμένει ενεργό και λειτουργικό ακόμη και μετά από επανεκκίνηση του συστήματος ή απόπειρες κατάργησής του. Ακολουθούν μερικές κοινές μέθοδοι που χρησιμοποιούνται για την επίτευξη επιμονής:

• Προγράμματα και υπηρεσίες εκκίνησης: Το κακόβουλο λογισμικό μπορεί να προσθέσει καταχωρίσεις σε προγράμματα ή υπηρεσίες εκκίνησης συστήματος, διασφαλίζοντας ότι εκτελείται κάθε φορά που εκκινείται το σύστημα.
• Κλειδιά μητρώου: Το κακόβουλο λογισμικό μπορεί να τροποποιήσει το μητρώο των Windows για να δημιουργήσει ή να τροποποιήσει κλειδιά και τιμές που εκτελούν το κακόβουλο λογισμικό κατά την εκκίνηση του συστήματος.
• Προγραμματισμένες εργασίες: Το κακόβουλο λογισμικό μπορεί να δημιουργήσει προγραμματισμένες εργασίες που εκτελούνται σε καθορισμένα χρονικά διαστήματα, επιτρέποντας στο κακόβουλο λογισμικό να εκτελείται μόνιμα στο παρασκήνιο.
• Τοποθεσίες αυτόματης εκκίνησης: Το κακόβουλο λογισμικό μπορεί να προστεθεί σε θέσεις αυτόματης εκκίνησης, όπως ο φάκελος Εκκίνηση στο μενού Έναρξη ή ο φάκελος Εκκίνηση στον κατάλογο Όλοι οι χρήστες.
• Επεκτάσεις και πρόσθετα προγράμματος περιήγησης: κακόβουλο λογισμικό που βασίζεται σε προγράμματα περιήγησης, όπως adware ή αεροπειρατές προγράμματος περιήγησης, μπορεί να εγκαταστήσει επεκτάσεις ή πρόσθετα σε προγράμματα περιήγησης ιστού για τον έλεγχο και τον χειρισμό της περιήγησης από τους χρήστες.
• Δημιουργία υπηρεσίας: Το κακόβουλο λογισμικό μπορεί να δημιουργήσει νέες υπηρεσίες Windows ή να χειραγωγήσει υπάρχουσες για να εξασφαλίσει τη συνέχιση της λειτουργίας του.
• Έγχυση DLL: Το κακόβουλο λογισμικό μπορεί να εγχυθεί σε νόμιμες διεργασίες ή να φορτώσει τη βιβλιοθήκη δυναμικής σύνδεσης (DLL) του σε διαδικασίες συστήματος, συγκαλύπτοντας την παρουσία του.
• Αλλαγές συστήματος αρχείων: Το κακόβουλο λογισμικό μπορεί να δημιουργήσει κρυφά αρχεία και φακέλους συστήματος για την αποθήκευση των στοιχείων ή των δεδομένων διαμόρφωσής του, γεγονός που καθιστά δύσκολο τον εντοπισμό του.
• Εγκατάσταση Bootkit ή Rootkit: Το προηγμένο κακόβουλο λογισμικό μπορεί να εγκαταστήσει bootkits ή rootkits, τα οποία θέτουν σε κίνδυνο τη διαδικασία εκκίνησης ή το βασικό λειτουργικό σύστημα, καθιστώντας εξαιρετικά δύσκολο τον εντοπισμό και την αφαίρεσή τους.