Kaspersky Threats — not-a-virus:AdWare.Win32.Ruco.eaj

Třída: Adware

Adware pokrývá programy určené k zobrazování reklam (obvykle ve formě bannerů), přesměrování žádostí o vyhledávání na reklamní webové stránky a shromažďování údajů o marketingu o uživateli (např. Které typy webových stránek navštíví), aby zobrazovala přizpůsobenou reklamu na počítač.

Kromě zobrazování reklam a shromažďování dat tyto typy programů zpravidla neznávají jejich přítomnost v systému: v systému nejsou žádné známky programu a v nabídce programu nejsou instalovány žádné indikace. Adware programy často neobsahují postupy odinstalování a využívají technologie, které hraničí s virální technologií, aby pomohly programu proniknout do počítače a bez povšimnutí. Penetrace

Existují dva hlavní způsoby, jak se Adware dostane do počítače uživatele:

to je vestavěný do některých freeware a shareware programů
neoprávněnou instalaci do počítače uživatele v důsledku návštěvy infikovaných webových stránek.
Většina programů pro freeware a shareware přestává zobrazovat reklamy po jejich zakoupení a / nebo registraci. Tyto programy však často používají zabudované nástroje Adware třetích stran av některých případech tyto nástroje zůstávají nainstalovány v počítači uživatele i po zaregistrování programů. Navíc odstranění komponenty Adware, které program stále používá pro zobrazování reklam, může způsobit poruchu programu.

Hlavním účelem rozšíření Adwaru prostřednictvím první metody je získání druhu platby za software tím, že se reklama zobrazuje uživateli (strany, které inzeráty platit reklamní agenturu, a reklamní agentura platí vývojáře Adwaru). Adware také pomáhá snižovat výdaje pro vývojáře softwaru (příjmy z Adware je povzbuzuje, aby psali nové programy a zlepšovaly stávající programy) a pomáhá také snížit náklady pro uživatele.

Technologie hackerů se často používají při instalaci reklamních komponent do počítače uživatele po návštěvě infikovaných webových stránek. Například počítač může být pronikán prostřednictvím zranitelnosti prohlížeče a mohou být použity trojské koně, jejichž cílem je tajná instalace (Trojan-Downloader nebo Trojan-Dropper). Adware programy, které fungují tímto způsobem, se často nazývají prohlížeč únosci.

Zobrazování reklam

Existují dva hlavní způsoby, jak je reklama zobrazována uživateli:

stahováním reklamního textu a obrázků do počítače z webových nebo FTP serverů vlastněných inzerentem
přesměrování požadavků na vyhledávání na internetových prohlížečích na reklamní webové stránky.
V některých případech se požadavky na přesměrování provádějí pouze v případě, že požadovaná webová stránka uživatele není k dispozici, tj. Je-li v adrese URL chyba.

Sbírat data

Kromě zobrazování reklam také mnoho reklamních systémů shromažďuje data o počítači a uživateli, například:

adresu IP počítače
operační systém a verze prohlížeče
seznam nejčastěji navštěvovaných webů
vyhledávací dotazy
další údaje, které mohou být použity k provádění následných reklamních kampaní.
Poznámka: je důležité nezaměňovat Adware, který shromažďuje data pomocí trojských spywarových programů. Rozdíl spočívá v tom, že Adware shromažďuje data se souhlasem uživatele.

Pokud Adware neoznámí uživateli, že shromažďuje informace, pak je klasifikován jako škodlivý program (Malware), který se konkrétně vztahuje na chování Trojan-Spy.

Platfoma: Win32

Win32 je rozhraní API v operačních systémech Windows NT (Windows XP, Windows 7 atd.), Které podporují provádění 32bitových aplikací. Jedna z nejrozšířenějších programovacích platforem na světě.

Family: AdWare.Win32.Ruco

No family description

Examples

F95D45ACB9415DD903D248D5D38168C2

Tactics and Techniques: Mitre*

TA0002

Execution

The adversary is trying to run malicious code. Execution consists of techniques that result in adversary-controlled code running on a local or remote system. Techniques that run malicious code are often paired with techniques from all other tactics to achieve broader goals, like exploring a network or stealing data. For example, an adversary might use a remote access tool to run a PowerShell script that does Remote System Discovery.

T1059.001

PowerShell

Adversaries may abuse PowerShell commands and scripts for execution. PowerShell is a powerful interactive command-line interface and scripting environment included in the Windows operating system. Adversaries can use PowerShell to perform a number of actions, including discovery of information and execution of code. Examples include the Start-Process cmdlet which can be used to run an executable and the Invoke-Command cmdlet which runs a command locally or on a remote computer (though administrator permissions are required to use PowerShell to connect to remote systems).

TA0003

Persistence

The adversary is trying to maintain their foothold. Persistence consists of techniques that adversaries use to keep access to systems across restarts, changed credentials, and other interruptions that could cut off their access. Techniques used for persistence include any access, action, or configuration changes that let them maintain their foothold on systems, such as replacing or hijacking legitimate code or adding startup code.

T1176

Software Extensions

Adversaries may abuse software extensions to establish persistent access to victim systems. Software extensions are modular components that enhance or customize the functionality of software applications, including web browsers, Integrated Development Environments (IDEs), and other platforms. Extensions are typically installed via official marketplaces, app stores, or manually loaded by users, and they often inherit the permissions and access levels of the host application.

TA0005

Defense Evasion

The adversary is trying to avoid being detected. Defense Evasion consists of techniques that adversaries use to avoid detection throughout their compromise. Techniques used for defense evasion include uninstalling/disabling security software or obfuscating/encrypting data and scripts. Adversaries also leverage and abuse trusted processes to hide and masquerade their malware. Other tactics' techniques are cross-listed here when those techniques include the added benefit of subverting defenses.

T1036.003

Rename Legitimate Utilities

Adversaries may rename legitimate / system utilities to try to evade security mechanisms concerning the usage of those utilities. Security monitoring and control mechanisms may be in place for legitimate utilities adversaries are capable of abusing, including both built-in binaries and tools such as PSExec, AutoHotKey, and IronPython. It may be possible to bypass those security mechanisms by renaming the utility prior to utilization (ex: rename rundll32.exe). An alternative case occurs when a legitimate utility is copied or moved to a different directory and renamed to avoid detections based on these utilities executing from non-standard paths.