Searchtabs.io est livré avec un mécanisme de persistance

Searchtabs.io est l’URL d’un moteur de recherche contrefait. En examinant des sites Web suspects, notre équipe est tombée sur une page Web trompeuse qui utilisait un contenu explicite pour inciter les utilisateurs à télécharger une configuration d'installation. Cette configuration particulière incluait un pirate de navigateur qui favorise l'utilisation du site Web searchtabs.io.

Bien que les logiciels entrant dans cette catégorie modifient généralement les paramètres du navigateur pour approuver certains sites Web, cette configuration, dans notre environnement de test, n'a apporté aucune modification au navigateur. Il convient de noter que ce pirate de l'air utilise une technique pour assurer sa persistance, ce qui rend difficile pour les utilisateurs de reprendre le contrôle de leur navigateur.

Une fois que nous avons installé la configuration qui fait la promotion de searchtabs.io sur notre machine de test, nous avons découvert qu'elle affectait les nouveaux onglets et fenêtres du navigateur. Chaque fois qu'un nouvel onglet ou une nouvelle fenêtre est ouvert, il redirige automatiquement vers searchtabs.io, chaque redirection comportant une requête de recherche aléatoire.

Les faux moteurs de recherche sont étiquetés comme tels car ils ne peuvent généralement pas fournir de résultats de recherche légitimes et redirigent plutôt les utilisateurs vers des moteurs de recherche Internet bien connus comme Bing, Google ou Yahoo. Les logiciels de piratage de navigateur ont tendance à déclencher des redirections vers des moteurs de recherche illégitimes lorsque les utilisateurs ouvrent de nouveaux onglets ou fenêtres ou saisissent des requêtes de recherche dans la barre d'URL. Cependant, comme mentionné précédemment, le comportement du pirate de navigateur faisant la promotion de searchtabs.io est distinct de la norme.

De plus, ce logiciel utilise une technique pour assurer sa persistance. Ces redirections sont initiées via un processus appelé « UITheme.exe ». Cependant, mettre fin à ce processus à lui seul n’élimine pas les redirections. Le pirate de navigateur utilise un outil appelé « ServiceUI » de Microsoft Deployment Toolkit, qui garantit que « UITheme.exe » est redémarré même s'il est arrêté manuellement via le Gestionnaire des tâches de Windows ou après un redémarrage du système.

Quelles sont certaines des méthodes courantes utilisées par les logiciels malveillants pour assurer la persistance ?

Les logiciels malveillants utilisent souvent diverses techniques pour assurer la persistance sur un système compromis. Ces méthodes garantissent que le logiciel malveillant reste actif et opérationnel même après le redémarrage du système ou les tentatives de suppression. Voici quelques méthodes courantes utilisées pour parvenir à la persistance :

Programmes et services de démarrage : les logiciels malveillants peuvent ajouter des entrées aux programmes ou services de démarrage du système, garantissant ainsi leur exécution à chaque démarrage du système.
Clés de registre : les logiciels malveillants peuvent modifier le registre Windows pour créer ou modifier des clés et des valeurs qui exécutent le logiciel malveillant lors du démarrage du système.
Tâches planifiées : les logiciels malveillants peuvent créer des tâches planifiées qui s'exécutent à des intervalles spécifiés, permettant ainsi au logiciel malveillant de s'exécuter de manière persistante en arrière-plan.
Emplacements de démarrage automatique : les logiciels malveillants peuvent s'ajouter aux emplacements de démarrage automatique, tels que le dossier de démarrage dans le menu Démarrer ou le dossier de démarrage dans le répertoire Tous les utilisateurs.
Extensions et modules complémentaires de navigateur : les logiciels malveillants basés sur le navigateur, tels que les logiciels publicitaires ou les pirates de navigateur, peuvent installer des extensions ou des modules complémentaires dans les navigateurs Web pour contrôler et manipuler la navigation des utilisateurs.
Création de services : les logiciels malveillants peuvent créer de nouveaux services Windows ou manipuler des services existants pour assurer leur fonctionnement continu.
Injection de DLL : les logiciels malveillants peuvent s'injecter dans des processus légitimes ou charger leur bibliothèque de liens dynamiques (DLL) dans les processus système, masquant ainsi leur présence.
Modifications du système de fichiers : les logiciels malveillants peuvent créer des fichiers et des dossiers cachés ou système pour stocker leurs composants ou leurs données de configuration, ce qui les rend difficiles à détecter.
Installation de bootkit ou de rootkit : les logiciels malveillants avancés peuvent installer des bootkits ou des rootkits, qui compromettent le processus de démarrage ou le système d'exploitation principal, les rendant extrêmement difficiles à détecter et à supprimer.