Kaspersky Threats — not-a-virus:AdWare.Win32.Ad2345.bnb

Kategorie: Adware

Adware umfasst Programme zur Anzeige von Werbung (normalerweise in Form von Bannern), Weiterleitung von Suchanfragen an Werbeseiten und Sammlung von Marketingdaten über den Nutzer (z. B. welche Arten von Websites er besucht), um personalisierte Werbung anzuzeigen der Computer.

Abgesehen von der Anzeige von Werbung und dem Sammeln von Daten sind diese Arten von Programmen im Allgemeinen nicht im System bekannt: Es gibt keine Anzeichen dafür, dass sich das Programm in der Taskleiste befindet, und im Programmmenü wird nicht angezeigt, dass Dateien installiert wurden. Oft haben Adware-Programme keine Deinstallationsverfahren und verwenden Technologien, die an die Virentechnologie grenzen, um das Programm heimlich in den Computer einzudringen und unbemerkt zu laufen. Penetration

Es gibt zwei Hauptwege, auf denen Adware auf den Computer eines Benutzers gelangt:

Es ist in einige Freeware- und Shareware-Programme integriert
nicht autorisierte Installation auf dem Computer eines Benutzers als Folge eines Besuchs auf einer infizierten Website.
Die meisten Freeware- und Shareware-Programme hören auf, Werbung anzuzeigen, sobald sie gekauft und / oder registriert wurden. Diese Programme verwenden jedoch häufig integrierte Adware-Dienstprogramme von Drittanbietern, und in einigen Fällen bleiben diese Dienstprogramme auch nach der Registrierung der Programme auf dem Computer des Benutzers installiert. Darüber hinaus könnte das Entfernen der Adware-Komponente, die immer noch von einem Programm zum Anzeigen von Werbung verwendet wird, zu Fehlfunktionen des Programms führen.

Der Hauptzweck von Adware, der über die erste Methode verbreitet wird, besteht darin, eine Art der Bezahlung für die Software zu extrahieren, indem dem Benutzer Anzeigen angezeigt werden (die Parteien, die die Werbung machen, zahlen die Werbeagentur und die Werbeagentur bezahlt den Adware-Entwickler). Adware hilft auch, die Ausgaben für Softwareentwickler zu senken (der Umsatz von Adware ermutigt sie, neue Programme zu schreiben und bestehende zu verbessern), und es hilft auch, die Kosten für die Benutzer zu senken.

Hackertechnologien werden häufig verwendet, wenn Werbekomponenten nach dem Besuch einer infizierten Website auf dem Computer eines Benutzers installiert werden. Zum Beispiel kann der Computer durch eine Browser-Schwachstelle durchdrungen werden, und es können Trojaner verwendet werden, die zur heimlichen Installation (Trojan-Downloader oder Trojan-Dropper) entwickelt wurden. Adware-Programme, die auf diese Weise funktionieren, werden oft Browser-Hijacker genannt.

Anzeigen anzeigen

Es gibt zwei Hauptarten, in denen Werbung dem Benutzer gezeigt wird:

durch Herunterladen von Werbetext und Bildern auf einen Computer von Web- oder FTP-Servern, die dem Werbetreibenden gehören
Weiterleiten von Suchanfragen für Internetbrowser an Werbeseiten.
In einigen Fällen werden Weiterleitungsanfragen nur ausgeführt, wenn die vom Benutzer angeforderte Webseite nicht verfügbar ist, dh wenn ein Fehler in der URL auftritt.

Daten sammeln

Viele Werbesysteme erfassen nicht nur Werbung, sondern auch Daten über den Computer und den Benutzer, wie zum Beispiel:

die IP-Adresse des Computers
das Betriebssystem und die Browserversion
eine Liste der am häufigsten besuchten Websites
Suchanfragen
andere Daten, die zur Durchführung nachfolgender Werbekampagnen verwendet werden können.
Hinweis: Es ist wichtig, Adware, die Daten sammelt, nicht mit Trojanern zu verwechseln. Der Unterschied besteht darin, dass Adware Daten mit Zustimmung des Nutzers sammelt.

Wenn Adware den Benutzer nicht benachrichtigt, dass es Informationen sammelt, wird es als bösartiges Programm (Malware) klassifiziert, das speziell durch das Verhalten von Trojan-Spy abgedeckt wird.

Mehr Informationen

Plattform: Win32

Win32 ist eine API auf Windows NT-basierten Betriebssystemen (Windows XP, Windows 7 usw.), die die Ausführung von 32-Bit-Anwendungen unterstützt. Eine der am weitesten verbreiteten Programmierplattformen der Welt.

Familie: AdWare.Win32.Ad2345

No family description

Examples

D38127A3B1114A9A5537E3CC965577D0

Tactics and Techniques: Mitre*

TA0005

Defense Evasion

The adversary is trying to avoid being detected. Defense Evasion consists of techniques that adversaries use to avoid detection throughout their compromise. Techniques used for defense evasion include uninstalling/disabling security software or obfuscating/encrypting data and scripts. Adversaries also leverage and abuse trusted processes to hide and masquerade their malware. Other tactics' techniques are cross-listed here when those techniques include the added benefit of subverting defenses.

T1070.006

Timestomp

Adversaries may modify file time attributes to hide new files or changes to existing files. Timestomping is a technique that modifies the timestamps of a file (the modify, access, create, and change times), often to mimic files that are in the same folder and blend malicious files with legitimate files.

T1205

Traffic Signaling

Adversaries may use traffic signaling to hide open ports or other malicious functionality used for persistence or command and control. Traffic signaling involves the use of a magic value or sequence that must be sent to a system to trigger a special response, such as opening a closed port or executing a malicious task. This may take the form of sending a series of packets with certain characteristics before a port will be opened that the adversary can use for command and control. Usually this series of packets consists of attempted connections to a predefined sequence of closed ports (i.e. Port Knocking), but can involve unusual flags, specific strings, or other unique characteristics. After the sequence is completed, opening a port may be accomplished by the host-based firewall, but could also be implemented by custom software.

T1497.001

System Checks

Adversaries may employ various system checks to detect and avoid virtualization and analysis environments. This may include changing behaviors based on the results of checks for the presence of artifacts indicative of a virtual machine environment (VME) or sandbox. If the adversary detects a VME, they may alter their malware to disengage from the victim or conceal the core functions of the implant. They may also search for VME artifacts before dropping secondary or additional payloads. Adversaries may use the information learned from Virtualization/Sandbox Evasion during automated discovery to shape follow-on behaviors.

T1497.003

Time Based Evasion

Adversaries may employ various time-based methods to detect and avoid virtualization and analysis environments. This may include enumerating time-based properties, such as uptime or the system clock, as well as the use of timers or other triggers to avoid a virtual machine environment (VME) or sandbox, specifically those that are automated or only operate for a limited amount of time.

T1622

Debugger Evasion

Adversaries may employ various means to detect and avoid debuggers. Debuggers are typically used by defenders to trace and/or analyze the execution of potential malware payloads.

TA0007

Discovery

The adversary is trying to figure out your environment. Discovery consists of techniques an adversary may use to gain knowledge about the system and internal network. These techniques help adversaries observe the environment and orient themselves before deciding how to act. They also allow adversaries to explore what they can control and what's around their entry point in order to discover how it could benefit their current objective. Native operating system tools are often used toward this post-compromise information-gathering objective.

T1049

System Network Connections Discovery

Adversaries may attempt to get a listing of network connections to or from the compromised system they are currently accessing or from remote systems by querying for information over the network.

T1497.001

System Checks

T1497.003

Time Based Evasion

T1518

Software Discovery

Adversaries may attempt to get a listing of software and software versions that are installed on a system or in a cloud environment. Adversaries may use the information from Software Discovery during automated discovery to shape follow-on behaviors, including whether or not the adversary fully infects the target and/or attempts specific actions.

T1622

Debugger Evasion

Adversaries may employ various means to detect and avoid debuggers. Debuggers are typically used by defenders to trace and/or analyze the execution of potential malware payloads.

TA0011

Command and Control

The adversary is trying to communicate with compromised systems to control them. Command and Control consists of techniques that adversaries may use to communicate with systems under their control within a victim network. Adversaries commonly attempt to mimic normal, expected traffic to avoid detection. There are many ways an adversary can establish command and control with various levels of stealth depending on the victim's network structure and defenses.

T1095

Non-Application Layer Protocol

Adversaries may use an OSI non-application layer protocol for communication between host and C2 server or among infected hosts within a network. The list of possible protocols is extensive. Specific examples include use of network layer protocols, such as the Internet Control Message Protocol (ICMP), transport layer protocols, such as the User Datagram Protocol (UDP), session layer protocols, such as Socket Secure (SOCKS), as well as redirected/tunneled protocols, such as Serial over LAN (SOL).