Searchtabs.io yra su patvarumo mechanizmu
Searchtabs.io yra padirbto paieškos variklio URL. Nagrinėdami įtartinas svetaines, mūsų komanda aptiko apgaulingą tinklalapį, kuriame buvo naudojamas aiškus turinys, siekiant paskatinti vartotojus atsisiųsti diegimo sąranką. Į šią konkrečią sąranką buvo įtrauktas naršyklės užgrobėjas, skatinantis naudoti searchtabs.io svetainę.
Nors į šią kategoriją patenkanti programinė įranga paprastai pakeičia naršyklės nustatymus, kad patvirtintų tam tikras svetaines, ši sąranka mūsų testavimo aplinkoje neatliko jokių naršyklės pakeitimų. Verta paminėti, kad šis užgrobėjas naudoja techniką, užtikrinančią jos patvarumą, todėl vartotojams sunku atgauti savo naršyklių kontrolę.
Įdiegę sąranką, kuri reklamuoja searchtabs.io savo bandomajame įrenginyje, sužinojome, kad ji turi įtakos naujiems naršyklės skirtukams ir langams. Kai atidaromas naujas skirtukas arba langas, jis automatiškai nukreipiamas į searchtabs.io, o kiekviename peradresavime pateikiama atsitiktinė paieškos užklausa.
Suklastotos paieškos sistemos yra paženklintos taip, nes paprastai negali pateikti teisėtų paieškos rezultatų, o nukreipia vartotojus į gerai žinomas interneto paieškos sistemas, tokias kaip „Bing“, „Google“ ar „Yahoo“. Naršyklės užgrobimo programinė įranga linkusi suaktyvinti peradresavimus į neteisėtus paieškos variklius, kai vartotojai atidaro naujus skirtukus ar langus arba įveda paieškos užklausas URL juostoje. Tačiau, kaip minėta anksčiau, naršyklės užgrobėjo, reklamuojančio searchtabs.io, elgesys skiriasi nuo įprasto.
Be to, ši programinė įranga naudoja techniką, užtikrinančią jos patvarumą. Šie peradresavimai inicijuojami naudojant procesą, žinomą kaip „UITheme.exe“. Tačiau vien šio proceso nutraukimas peradresavimų nepanaikina. Naršyklės užgrobėjas naudoja įrankį „ServiceUI“ iš „Microsoft Deployment Toolkit“, kuris užtikrina, kad „UITheme.exe“ būtų paleistas iš naujo, net jei jis rankiniu būdu nutraukiamas naudojant „Windows“ užduočių tvarkytuvę arba po sistemos perkrovimo.
Kokie yra įprasti metodai, kuriuos kenkėjiška programinė įranga naudoja, kad pasiektų patvarumą?
Kenkėjiška programinė įranga dažnai naudoja įvairius metodus, kad išlaikytų pažeistą sistemą. Šie metodai užtikrina, kad kenkėjiška programa išliktų aktyvi ir veiks net po sistemos perkrovimo arba bandymo ją pašalinti. Štai keli įprasti metodai, naudojami atkaklumui pasiekti:
- Paleisties programos ir paslaugos: kenkėjiška programa gali pridėti įrašų į sistemos paleisties programas arba paslaugas, užtikrindama, kad jos veiktų kiekvieną kartą, kai sistema paleidžiama.
- Registro raktai: kenkėjiška programa gali modifikuoti „Windows“ registrą, kad sukurtų arba modifikuotų raktus ir reikšmes, kurios vykdo kenkėjišką programą paleidžiant sistemą.
- Suplanuotos užduotys: Kenkėjiška programinė įranga gali sukurti suplanuotas užduotis, kurios vykdomos nustatytais intervalais, todėl kenkėjiška programa gali nuolat veikti fone.
- Automatinio paleidimo vietos: kenkėjiškos programos gali būti įtrauktos į automatinio paleidimo vietas, pvz., Paleisties aplanką meniu Pradėti arba Paleisties aplanką kataloge Visi vartotojai.
- Naršyklės plėtiniai ir priedai: naršykle pagrįstos kenkėjiškos programos, pvz., reklaminės programos arba naršyklės užgrobėjai, gali įdiegti plėtinius arba priedus žiniatinklio naršyklėse, kad galėtų valdyti ir manipuliuoti naudotojo naršymu.
- Paslaugos kūrimas: kenkėjiška programinė įranga gali kurti naujas „Windows“ paslaugas arba manipuliuoti esamomis, kad užtikrintų tolesnį jos veikimą.
- DLL įterpimas: kenkėjiška programa gali įsiterpti į teisėtus procesus arba įkelti savo dinaminės nuorodos biblioteką (DLL) į sistemos procesus, nuslėpdama jos buvimą.
- Failų sistemos pakeitimai: kenkėjiška programa gali sukurti paslėptus arba sistemos failus ir aplankus, kad saugotų savo komponentus arba konfigūracijos duomenis, todėl juos sunku aptikti.
- „Bootkit“ arba „Rootkit“ diegimas: pažangios kenkėjiškos programos gali įdiegti įkrovos rinkinius arba „rootkit“, kurie pažeidžia įkrovos procesą arba pagrindinę operacinę sistemą, todėl juos labai sunku aptikti ir pašalinti.
