Searchtabs.io поставляется с механизмом сохранения

Searchtabs.io — это URL-адрес поддельной поисковой системы. При проверке подозрительных веб-сайтов наша команда наткнулась на обманчивую веб-страницу, на которой использовался откровенный контент, чтобы побудить пользователей загрузить установочный файл. Эта конкретная установка включала угонщик браузера, который продвигает использование веб-сайта searchtabs.io.

Хотя программное обеспечение, попадающее в эту категорию, обычно изменяет настройки браузера для поддержки определенных веб-сайтов, в нашей тестовой среде эта настройка не внесла никаких изменений в браузер. Стоит отметить, что этот угонщик использует технику, обеспечивающую его устойчивость, что усложняет пользователям восстановление контроля над своими браузерами.

После того, как мы установили настройку, продвигающую searchtabs.io, на нашем тестовом компьютере, мы обнаружили, что она влияет на новые вкладки и окна браузера. Всякий раз, когда открывается новая вкладка или окно, она автоматически перенаправляется на searchtabs.io, причем каждое перенаправление включает рандомизированный поисковый запрос.

Поддельные поисковые системы помечены как таковые, потому что они обычно не могут предоставить законные результаты поиска и вместо этого перенаправляют пользователей на известные поисковые системы Интернета, такие как Bing, Google или Yahoo. Программное обеспечение для взлома браузера имеет тенденцию инициировать перенаправление на незаконные поисковые системы, когда пользователи открывают новые вкладки или окна или вводят поисковые запросы в строке URL. Однако, как упоминалось ранее, поведение угонщика браузера, продвигающего searchtabs.io, отличается от нормы.

Кроме того, в этом программном обеспечении используется метод обеспечения его устойчивости. Эти перенаправления инициируются посредством процесса, известного как «UITheme.exe». Однако завершение этого процесса само по себе не устраняет перенаправления. Угонщик браузера использует инструмент под названием «ServiceUI» из Microsoft Deployment Toolkit, который гарантирует перезапуск «UITheme.exe», даже если он завершается вручную через диспетчер задач Windows или после перезагрузки системы.

Каковы некоторые из распространенных методов, которые вредоносное программное обеспечение использует для обеспечения устойчивости?

Вредоносное программное обеспечение часто использует различные методы для обеспечения устойчивости скомпрометированной системы. Эти методы гарантируют, что вредоносное ПО останется активным и работоспособным даже после перезагрузки системы или попытки его удаления. Вот некоторые распространенные методы, используемые для достижения устойчивости:

Запускаемые программы и службы. Вредоносное ПО может добавлять записи в программы или службы, запускаемые системой, гарантируя, что они будут запускаться при каждой загрузке системы.
Ключи реестра. Вредоносное ПО может изменять реестр Windows, создавая или изменяя ключи и значения, которые запускают вредоносное ПО во время запуска системы.
Запланированные задачи. Вредоносное программное обеспечение может создавать запланированные задачи, которые выполняются через определенные промежутки времени, что позволяет вредоносному ПО постоянно работать в фоновом режиме.
Места автозагрузки. Вредоносное ПО может добавлять себя в места автозагрузки, например в папку «Автозагрузка» в меню «Пуск» или папку «Автозагрузка» в каталоге «Все пользователи».
Расширения и надстройки браузера. Вредоносные программы на основе браузера, такие как рекламное ПО или угонщики браузера, могут устанавливать расширения или надстройки в веб-браузеры для контроля и манипулирования просмотром страниц пользователями.
Создание служб. Вредоносное программное обеспечение может создавать новые службы Windows или манипулировать существующими, чтобы обеспечить их непрерывную работу.
Внедрение DLL. Вредоносное ПО может внедряться в законные процессы или загружать свою динамическую библиотеку (DLL) в системные процессы, маскируя свое присутствие.
Изменения файловой системы. Вредоносное ПО может создавать скрытые или системные файлы и папки для хранения своих компонентов или данных конфигурации, что затрудняет его обнаружение.
Установка буткита или руткита. Расширенные вредоносные программы могут устанавливать буткиты или руткиты, которые ставят под угрозу процесс загрузки или основную операционную систему, что чрезвычайно затрудняет их обнаружение и удаление.