Kaspersky Threats — not-a-virus:AdWare.Win32.Agent.xxzysw

Sınıf: Adware

Reklam yazılımı, reklamları (genellikle afiş biçiminde) görüntülemek, arama isteklerini reklam web sitelerine yönlendirmek ve kullanıcıyla ilgili pazarlama türündeki verileri toplamak (örneğin hangi web sitelerini ziyaret ettikleri) için özelleştirilmiş programlar görüntülemek üzere tasarlanmış programları kapsar. bilgisayar. Reklamların görüntülenmesi ve veri toplanması dışında, bu tür programlar genellikle sistemde varlığını ortaya çıkarmazlar: sistem tepsisinde programın hiçbir işareti olmayacak ve dosyaların yüklendiği program menüsünde hiçbir belirti olmayacaktır. Çoğu zaman, Adware programlarının herhangi bir kaldırma prosedürü yoktur ve programın gizlice bilgisayara girmesine ve fark edilmeden çalıştırılmasına yardımcı olmak için virüs teknolojisiyle sınırlanan teknolojileri kullanır. Penetrasyon Adware'in bir kullanıcının bilgisayarına girmesinin iki ana yolu vardır: virüslü bir web sitesine yapılan ziyaretin bir sonucu olarak, bir kullanıcının bilgisayarına yetkisiz bir şekilde yüklenen bazı ücretsiz ve shareware programlarına yerleştirilmiştir. Çoğu ücretsiz yazılım ve shareware programı, satın alındıktan ve / veya kayıt olduktan sonra reklam göstermeyi durdurur. Ancak bu programlar genellikle yerleşik üçüncü taraf Adware yardımcı programlarını kullanır ve bazı durumlarda, programlar kaydedildikten sonra bile bu yardımcı programlar kullanıcının bilgisayarında yüklü kalır. Ayrıca, reklamları görüntülemek için bir program tarafından hala kullanılmakta olan Adware bileşeninin kaldırılması, programın arızalanmasına neden olabilir. Adware'in temel amacı, ilk yöntemle yayının, kullanıcıya reklam göstererek (reklam ajansını reklam ajansını ödeyen taraflar ve reklam ajansı Adware geliştiricisine ödeme yapması) yazılım için bir ödeme şekli çıkarmasıdır. Adware ayrıca yazılım geliştiricilerinin (Adware gelirleri yeni programlar yazmaya ve mevcut olanları iyileştirmeye teşvik eder) masraflarını azaltmaya yardımcı olur ve ayrıca kullanıcılar için maliyetleri azaltmaya yardımcı olur. Hacker teknolojileri, genellikle, bir kullanıcının web sitesinde, bir web sitesinin ziyaret edilmesini takiben, reklam bileşenleri yüklü olduğunda kullanılır. Örneğin, bir tarayıcıda bir güvenlik açığı ile bilgisayara girilebilir ve gizlice kurulacak şekilde tasarlanmış Truva atları (Trojan-Downloader veya Trojan-Dropper) kullanılabilir. Bu şekilde çalışan adware programları genellikle Tarayıcı Korsanları olarak adlandırılır. Reklamların gösterilmesi Reklamın kullanıcıya gösterilmesinin iki ana yolu vardır: reklam metinlerini ve görüntüleri bir web sitesine veya İnternet tarayıcı arama isteklerini reklam web sitelerine yönlendiren reklamverenin sahip olduğu FTP veya sunuculardan indirerek. Bazı durumlarda, yönlendirme istekleri yalnızca kullanıcının istediği web sayfası kullanılamıyorsa, yani URL'de bir hata varsa gerçekleşir. Veri toplama Reklamları görüntülemenin yanı sıra, birçok reklamcılık sistemi de bilgisayar ve kullanıcı ile ilgili verileri toplar; örneğin: bilgisayarın IP adresi işletim sistemi ve tarayıcı sürümü en çok ziyaret edilen sitelerin listesini arar. sonraki reklam kampanyalarını yürütmek. Not: Trojan casus yazılım programlarıyla veri toplayan Adware'i karıştırmamak önemlidir. Aradaki fark, Adware'in verileri kullanıcının izni ile toplamasıdır. Adware, kullanıcıyı bilgi topladığına bildirmezse, özellikle Trojan-Spy davranışı kapsamında olan kötü amaçlı bir program (Malware) olarak sınıflandırılır.

Platform: Win32

Win32, 32-bit uygulamaların yürütülmesini destekleyen Windows NT tabanlı işletim sistemlerinde (Windows XP, Windows 7, vb.) Bir API'dir. Dünyanın en yaygın programlama platformlarından biri.

Aile: AdWare.Win32.Agent

No family description

Examples

FC7FFF2412E8CC88EDF149ACF71866CF

Tactics and Techniques: Mitre*

TA0002

Execution

The adversary is trying to run malicious code. Execution consists of techniques that result in adversary-controlled code running on a local or remote system. Techniques that run malicious code are often paired with techniques from all other tactics to achieve broader goals, like exploring a network or stealing data. For example, an adversary might use a remote access tool to run a PowerShell script that does Remote System Discovery.

T1106

Native API

Adversaries may interact with the native OS application programming interface (API) to execute behaviors. Native APIs provide a controlled means of calling low-level OS services within the kernel, such as those involving hardware/devices, memory, and processes. These native APIs are leveraged by the OS during system boot (when other system components are not yet initialized) as well as carrying out tasks and requests during routine operations.

T1129

Shared Modules

Adversaries may execute malicious payloads via loading shared modules. Shared modules are executable files that are loaded into processes to provide access to reusable code, such as specific custom functions or invoking OS API functions (i.e., Native API).

T1559.001

Component Object Model

Adversaries may use the Windows Component Object Model (COM) for local code execution. COM is an inter-process communication (IPC) component of the native Windows application programming interface (API) that enables interaction between software objects, or executable code that implements one or more interfaces. Through COM, a client object can call methods of server objects, which are typically binary Dynamic Link Libraries (DLL) or executables (EXE). Remote COM execution is facilitated by Remote Services such as Distributed Component Object Model (DCOM).

TA0003

Persistence

The adversary is trying to maintain their foothold. Persistence consists of techniques that adversaries use to keep access to systems across restarts, changed credentials, and other interruptions that could cut off their access. Techniques used for persistence include any access, action, or configuration changes that let them maintain their foothold on systems, such as replacing or hijacking legitimate code or adding startup code.

T1543.003

Windows Service

Adversaries may create or modify Windows services to repeatedly execute malicious payloads as part of persistence. When Windows boots up, it starts programs or applications called services that perform background system functions. Windows service configuration information, including the file path to the service's executable or recovery programs/commands, is stored in the Windows Registry.

TA0004

Privilege Escalation

The adversary is trying to gain higher-level permissions. Privilege Escalation consists of techniques that adversaries use to gain higher-level permissions on a system or network. Adversaries can often enter and explore a network with unprivileged access but require elevated permissions to follow through on their objectives. Common approaches are to take advantage of system weaknesses, misconfigurations, and vulnerabilities. Examples of elevated access include: SYSTEM/root level, local administrator, user account with admin-like access, user accounts with access to specific system or perform specific function. These techniques often overlap with Persistence techniques, as OS features that let an adversary persist can execute in an elevated context.

T1134

Access Token Manipulation

Adversaries may modify access tokens to operate under a different user or system security context to perform actions and bypass access controls. Windows uses access tokens to determine the ownership of a running process. A user can manipulate access tokens to make a running process appear as though it is the child of a different process or belongs to someone other than the user that started the process. When this occurs, the process also takes on the security context associated with the new token.

T1543.003

Windows Service

TA0005

Defense Evasion

The adversary is trying to avoid being detected. Defense Evasion consists of techniques that adversaries use to avoid detection throughout their compromise. Techniques used for defense evasion include uninstalling/disabling security software or obfuscating/encrypting data and scripts. Adversaries also leverage and abuse trusted processes to hide and masquerade their malware. Other tactics' techniques are cross-listed here when those techniques include the added benefit of subverting defenses.

T1112

Modify Registry

Adversaries may interact with the Windows Registry as part of a variety of other techniques to aid in defense evasion, persistence, and execution.

T1134

Access Token Manipulation

TA0007

Discovery

The adversary is trying to figure out your environment. Discovery consists of techniques an adversary may use to gain knowledge about the system and internal network. These techniques help adversaries observe the environment and orient themselves before deciding how to act. They also allow adversaries to explore what they can control and what's around their entry point in order to discover how it could benefit their current objective. Native operating system tools are often used toward this post-compromise information-gathering objective.

T1010

Application Window Discovery

Adversaries may attempt to get a listing of open application windows. Window listings could convey information about how the system is used. For example, information about application windows could be used identify potential data to collect as well as identifying security tooling (Security Software Discovery) to evade.