Kaspersky Threats — not-a-virus:AdWare.Win32.Agent.xxzyrd

Clase: Adware

Adware cubre programas diseñados para mostrar anuncios (generalmente en forma de pancartas), redirige las solicitudes de búsqueda a sitios web publicitarios y recopila datos de tipo marketing sobre el usuario (por ejemplo, qué tipos de sitios web visita) para mostrar publicidad personalizada en el ordenador. Además de mostrar anuncios y recopilar datos, estos tipos de programas generalmente no hacen que su presencia en el sistema sea conocida: no habrá señales del programa en la bandeja del sistema, y no habrá ninguna indicación en el menú del programa de que los archivos se hayan instalado. A menudo, los programas Adware no tienen ningún procedimiento de desinstalación y usan tecnologías que limitan con la tecnología de virus para ayudar al programa a penetrar sigilosamente en la computadora y pasar desapercibido. Penetración Hay dos formas principales en que Adware ingresa a la computadora de un usuario: está incorporada en algunos programas freeware y shareware de instalación no autorizada en la computadora de un usuario como resultado de una visita a un sitio web infectado. La mayoría de los programas freeware y shareware dejan de mostrar anuncios una vez que se han comprado y / o registrado. Pero estos programas a menudo usan utilidades incorporadas de Adware de terceros y, en algunos casos, estas utilidades permanecen instaladas en la computadora del usuario incluso una vez que se han registrado los programas. Además, la eliminación del componente Adware, que todavía está siendo utilizado por un programa para mostrar anuncios, podría causar un mal funcionamiento del programa. El principal objetivo de propagación de Adware a través del primer método es extraer un tipo de pago para el software mostrando anuncios al usuario (las partes que hacen los anuncios pagan a la agencia de publicidad, y la agencia de publicidad paga al desarrollador de Adware). Adware también ayuda a reducir los gastos para los desarrolladores de software (los ingresos de Adware los alienta a escribir nuevos programas y mejorar los ya existentes) y ayuda a reducir los costos para los usuarios también. Las tecnologías de hackers a menudo se usan cuando los componentes publicitarios se instalan en la computadora de un usuario después de visitar un sitio web infectado. Por ejemplo, se puede penetrar la computadora a través de una vulnerabilidad de navegador y se pueden usar troyanos diseñados para su instalación sigilosa (Trojan-Downloader o Trojan-Dropper). Los programas publicitarios que funcionan de esta manera a menudo se denominan secuestradores del navegador. Mostrar anuncios Hay dos formas principales en que se muestra la publicidad al usuario: mediante la descarga de texto e imágenes publicitarias a una computadora desde servidores web o FTP propiedad del anunciante que redirigen las solicitudes de búsqueda del navegador de Internet a sitios web publicitarios. En algunos casos, las solicitudes de redireccionamiento solo se realizan si la página web solicitada del usuario no está disponible, es decir, si hay un error en la URL. Recopilación de datos Además de mostrar anuncios, muchos sistemas publicitarios también recopilan datos sobre la computadora y el usuario, tales como: la dirección IP de la computadora, el sistema operativo y la versión del navegador una lista de los sitios más visitados, consultas de búsqueda, otros datos que pueden usarse para llevar a cabo campañas publicitarias posteriores. Nota: es importante no confundir el Adware que recopila datos con programas espía de troyanos. La diferencia es que Adware recopila datos con el consentimiento del usuario. Si Adware no notifica al usuario que está recopilando información, entonces se clasifica como un programa malicioso (Malware), específicamente cubierto por el comportamiento Trojan-Spy.

Más información

Plataforma: Win32

Win32 es una API en sistemas operativos basados en Windows NT (Windows XP, Windows 7, etc.) que admite la ejecución de aplicaciones de 32 bits. Una de las plataformas de programación más extendidas en el mundo.

Familia: AdWare.Win32.Agent

No family description

Examples

FB49CDAD80452ED2906BD8C35562D7D4

Tactics and Techniques: Mitre*

TA0002

Execution

The adversary is trying to run malicious code. Execution consists of techniques that result in adversary-controlled code running on a local or remote system. Techniques that run malicious code are often paired with techniques from all other tactics to achieve broader goals, like exploring a network or stealing data. For example, an adversary might use a remote access tool to run a PowerShell script that does Remote System Discovery.

T1106

Native API

Adversaries may interact with the native OS application programming interface (API) to execute behaviors. Native APIs provide a controlled means of calling low-level OS services within the kernel, such as those involving hardware/devices, memory, and processes. These native APIs are leveraged by the OS during system boot (when other system components are not yet initialized) as well as carrying out tasks and requests during routine operations.

T1559.001

Component Object Model

Adversaries may use the Windows Component Object Model (COM) for local code execution. COM is an inter-process communication (IPC) component of the native Windows application programming interface (API) that enables interaction between software objects, or executable code that implements one or more interfaces. Through COM, a client object can call methods of server objects, which are typically binary Dynamic Link Libraries (DLL) or executables (EXE). Remote COM execution is facilitated by Remote Services such as Distributed Component Object Model (DCOM).

TA0005

Defense Evasion

The adversary is trying to avoid being detected. Defense Evasion consists of techniques that adversaries use to avoid detection throughout their compromise. Techniques used for defense evasion include uninstalling/disabling security software or obfuscating/encrypting data and scripts. Adversaries also leverage and abuse trusted processes to hide and masquerade their malware. Other tactics' techniques are cross-listed here when those techniques include the added benefit of subverting defenses.

T1112

Modify Registry

Adversaries may interact with the Windows Registry as part of a variety of other techniques to aid in defense evasion, persistence, and execution.

T1497.001

System Checks

Adversaries may employ various system checks to detect and avoid virtualization and analysis environments. This may include changing behaviors based on the results of checks for the presence of artifacts indicative of a virtual machine environment (VME) or sandbox. If the adversary detects a VME, they may alter their malware to disengage from the victim or conceal the core functions of the implant. They may also search for VME artifacts before dropping secondary or additional payloads. Adversaries may use the information learned from Virtualization/Sandbox Evasion during automated discovery to shape follow-on behaviors.

TA0007

Discovery

The adversary is trying to figure out your environment. Discovery consists of techniques an adversary may use to gain knowledge about the system and internal network. These techniques help adversaries observe the environment and orient themselves before deciding how to act. They also allow adversaries to explore what they can control and what's around their entry point in order to discover how it could benefit their current objective. Native operating system tools are often used toward this post-compromise information-gathering objective.

T1010

Application Window Discovery

Adversaries may attempt to get a listing of open application windows. Window listings could convey information about how the system is used. For example, information about application windows could be used identify potential data to collect as well as identifying security tooling (Security Software Discovery) to evade.

T1497.001

System Checks