Třída: Adware
Adware pokrývá programy určené k zobrazování reklam (obvykle ve formě bannerů), přesměrování žádostí o vyhledávání na reklamní webové stránky a shromažďování údajů o marketingu o uživateli (např. Které typy webových stránek navštíví), aby zobrazovala přizpůsobenou reklamu na počítač.Kromě zobrazování reklam a shromažďování dat tyto typy programů zpravidla neznávají jejich přítomnost v systému: v systému nejsou žádné známky programu a v nabídce programu nejsou instalovány žádné indikace. Adware programy často neobsahují postupy odinstalování a využívají technologie, které hraničí s virální technologií, aby pomohly programu proniknout do počítače a bez povšimnutí. Penetrace
Existují dva hlavní způsoby, jak se Adware dostane do počítače uživatele:
to je vestavěný do některých freeware a shareware programů
neoprávněnou instalaci do počítače uživatele v důsledku návštěvy infikovaných webových stránek.
Většina programů pro freeware a shareware přestává zobrazovat reklamy po jejich zakoupení a / nebo registraci. Tyto programy však často používají zabudované nástroje Adware třetích stran av některých případech tyto nástroje zůstávají nainstalovány v počítači uživatele i po zaregistrování programů. Navíc odstranění komponenty Adware, které program stále používá pro zobrazování reklam, může způsobit poruchu programu.
Hlavním účelem rozšíření Adwaru prostřednictvím první metody je získání druhu platby za software tím, že se reklama zobrazuje uživateli (strany, které inzeráty platit reklamní agenturu, a reklamní agentura platí vývojáře Adwaru). Adware také pomáhá snižovat výdaje pro vývojáře softwaru (příjmy z Adware je povzbuzuje, aby psali nové programy a zlepšovaly stávající programy) a pomáhá také snížit náklady pro uživatele.
Technologie hackerů se často používají při instalaci reklamních komponent do počítače uživatele po návštěvě infikovaných webových stránek. Například počítač může být pronikán prostřednictvím zranitelnosti prohlížeče a mohou být použity trojské koně, jejichž cílem je tajná instalace (Trojan-Downloader nebo Trojan-Dropper). Adware programy, které fungují tímto způsobem, se často nazývají prohlížeč únosci.
Zobrazování reklam
Existují dva hlavní způsoby, jak je reklama zobrazována uživateli:
stahováním reklamního textu a obrázků do počítače z webových nebo FTP serverů vlastněných inzerentem
přesměrování požadavků na vyhledávání na internetových prohlížečích na reklamní webové stránky.
V některých případech se požadavky na přesměrování provádějí pouze v případě, že požadovaná webová stránka uživatele není k dispozici, tj. Je-li v adrese URL chyba.
Sbírat data
Kromě zobrazování reklam také mnoho reklamních systémů shromažďuje data o počítači a uživateli, například:
adresu IP počítače
operační systém a verze prohlížeče
seznam nejčastěji navštěvovaných webů
vyhledávací dotazy
další údaje, které mohou být použity k provádění následných reklamních kampaní.
Poznámka: je důležité nezaměňovat Adware, který shromažďuje data pomocí trojských spywarových programů. Rozdíl spočívá v tom, že Adware shromažďuje data se souhlasem uživatele.
Pokud Adware neoznámí uživateli, že shromažďuje informace, pak je klasifikován jako škodlivý program (Malware), který se konkrétně vztahuje na chování Trojan-Spy.
Platfoma: Win32
Win32 je rozhraní API v operačních systémech Windows NT (Windows XP, Windows 7 atd.), Které podporují provádění 32bitových aplikací. Jedna z nejrozšířenějších programovacích platforem na světě.Family: AdWare.Win32.InstallMonster
No family descriptionExamples
AA3D258132275C309C79E28B5C4170E30F23949FA725854D008C57D491EE1846
878D4FCE0235630EC7856228F13DF736
8AF36D507D724F95CEBECA9D7E721619
DDB4AA09B1A72A11693A4D84F292A2E6
Tactics and Techniques: Mitre*
TA0002
Execution
The adversary is trying to run malicious code.
Execution consists of techniques that result in adversary-controlled code running on a local or remote system. Techniques that run malicious code are often paired with techniques from all other tactics to achieve broader goals, like exploring a network or stealing data. For example, an adversary might use a remote access tool to run a PowerShell script that does Remote System Discovery.
Execution consists of techniques that result in adversary-controlled code running on a local or remote system. Techniques that run malicious code are often paired with techniques from all other tactics to achieve broader goals, like exploring a network or stealing data. For example, an adversary might use a remote access tool to run a PowerShell script that does Remote System Discovery.
T1204.002
User Execution: Malicious File
An adversary may rely upon a user opening a malicious file in order to gain execution. Users may be subjected to social engineering to get them to open a file that will lead to code execution. This user action will typically be observed as follow-on behavior from Spearphishing Attachment. Adversaries may use several types of files that require a user to execute them, including .doc, .pdf, .xls, .rtf, .scr, .exe, .lnk, .pif, and .cpl.
Adversaries may employ various forms of Masquerading and Obfuscated Files or Information to increase the likelihood that a user will open and successfully execute a malicious file. These methods may include using a familiar naming convention and/or password protecting the file and supplying instructions to a user on how to open it.(Citation: Password Protected Word Docs)
While Malicious File frequently occurs shortly after Initial Access it may occur at other phases of an intrusion, such as when an adversary places a file in a shared directory or on a user's desktop hoping that a user will click on it. This activity may also be seen shortly after Internal Spearphishing.
Adversaries may employ various forms of Masquerading and Obfuscated Files or Information to increase the likelihood that a user will open and successfully execute a malicious file. These methods may include using a familiar naming convention and/or password protecting the file and supplying instructions to a user on how to open it.(Citation: Password Protected Word Docs)
While Malicious File frequently occurs shortly after Initial Access it may occur at other phases of an intrusion, such as when an adversary places a file in a shared directory or on a user's desktop hoping that a user will click on it. This activity may also be seen shortly after Internal Spearphishing.
TA0003
Persistence
The adversary is trying to maintain their foothold.
Persistence consists of techniques that adversaries use to keep access to systems across restarts, changed credentials, and other interruptions that could cut off their access. Techniques used for persistence include any access, action, or configuration changes that let them maintain their foothold on systems, such as replacing or hijacking legitimate code or adding startup code.
Persistence consists of techniques that adversaries use to keep access to systems across restarts, changed credentials, and other interruptions that could cut off their access. Techniques used for persistence include any access, action, or configuration changes that let them maintain their foothold on systems, such as replacing or hijacking legitimate code or adding startup code.
T1546.002
Event Triggered Execution: Screensaver
Adversaries may establish persistence by executing malicious content triggered by user inactivity. Screensavers are programs that execute after a configurable time of user inactivity and consist of Portable Executable (PE) files with a .scr file extension.(Citation: Wikipedia Screensaver) The Windows screensaver application scrnsave.scr is located in
The following screensaver settings are stored in the Registry (
*
*
*
*
Adversaries can use screensaver settings to maintain persistence by setting the screensaver to run malware after a certain timeframe of user inactivity.(Citation: ESET Gazer Aug 2017)
C:\Windows\System32\, and C:\Windows\sysWOW64\ on 64-bit Windows systems, along with screensavers included with base Windows installations.The following screensaver settings are stored in the Registry (
HKCU\Control Panel\Desktop\) and could be manipulated to achieve persistence:*
SCRNSAVE.exe - set to malicious PE path*
ScreenSaveActive - set to '1' to enable the screensaver*
ScreenSaverIsSecure - set to '0' to not require a password to unlock*
ScreenSaveTimeout - sets user inactivity timeout before screensaver is executedAdversaries can use screensaver settings to maintain persistence by setting the screensaver to run malware after a certain timeframe of user inactivity.(Citation: ESET Gazer Aug 2017)
TA0004
Privilege Escalation
The adversary is trying to gain higher-level permissions.
Privilege Escalation consists of techniques that adversaries use to gain higher-level permissions on a system or network. Adversaries can often enter and explore a network with unprivileged access but require elevated permissions to follow through on their objectives. Common approaches are to take advantage of system weaknesses, misconfigurations, and vulnerabilities. Examples of elevated access include:
* SYSTEM/root level
* local administrator
* user account with admin-like access
* user accounts with access to specific system or perform specific function
These techniques often overlap with Persistence techniques, as OS features that let an adversary persist can execute in an elevated context.
Privilege Escalation consists of techniques that adversaries use to gain higher-level permissions on a system or network. Adversaries can often enter and explore a network with unprivileged access but require elevated permissions to follow through on their objectives. Common approaches are to take advantage of system weaknesses, misconfigurations, and vulnerabilities. Examples of elevated access include:
* SYSTEM/root level
* local administrator
* user account with admin-like access
* user accounts with access to specific system or perform specific function
These techniques often overlap with Persistence techniques, as OS features that let an adversary persist can execute in an elevated context.
T1546.002
Event Triggered Execution: Screensaver
Adversaries may establish persistence by executing malicious content triggered by user inactivity. Screensavers are programs that execute after a configurable time of user inactivity and consist of Portable Executable (PE) files with a .scr file extension.(Citation: Wikipedia Screensaver) The Windows screensaver application scrnsave.scr is located in
The following screensaver settings are stored in the Registry (
*
*
*
*
Adversaries can use screensaver settings to maintain persistence by setting the screensaver to run malware after a certain timeframe of user inactivity.(Citation: ESET Gazer Aug 2017)
C:\Windows\System32\, and C:\Windows\sysWOW64\ on 64-bit Windows systems, along with screensavers included with base Windows installations.The following screensaver settings are stored in the Registry (
HKCU\Control Panel\Desktop\) and could be manipulated to achieve persistence:*
SCRNSAVE.exe - set to malicious PE path*
ScreenSaveActive - set to '1' to enable the screensaver*
ScreenSaverIsSecure - set to '0' to not require a password to unlock*
ScreenSaveTimeout - sets user inactivity timeout before screensaver is executedAdversaries can use screensaver settings to maintain persistence by setting the screensaver to run malware after a certain timeframe of user inactivity.(Citation: ESET Gazer Aug 2017)
* © 2026 The MITRE Corporation. This work is reproduced and distributed with the permission of The MITRE Corporation.