Naizgled bezopasni adware uhvaćen kako distribuira malvere

Vesti, 01.10.2020, 10:30 AM

Adware poznat prvenstveno po distribuciji “browser hijackera” (otmičara pregledača) uhvaćen je u distribuciji pravih malvera, otkrili su istraživači indijske firme K7 Computing na konferenciji posvećenoj bezbednosti VirusBulletin 2020.

“On hoda vrlo tankom linijom između tipičnog adwarea i malvera”, kažu indijski istraživači dodajući da malver lako može da bude jedno ili drugo u zavisnosti od toga gde se nalazi korisnik uređaja.

Linkury je prilagodio svoje delovanje kako bi prikrio zlonamerne tehnike i ponaša se kao “legitimni adware koji poštuje zakon“.

Pre prezentacije indijskih istraživača na VirusBulletin 2020 konferenciji, Linkury je bio prvenstveno poznat kao adware.

Njegov glavni metod distribucije je vidžet SafeFinder, dodatak pregledača koji se, ironično, reklamira kao način za bezbedno pretraživanje interneta.

Vidžet se obično isporučuje sa drugim besplatnim aplikacijama ili se distribuira preko oglasa koji korisnike interneta preusmeravaju na stranice za preuzimanje SafeFindera.

Instaliranje ekstenzije SafeFinder obično menja podrazumevano podešavanje pretraživača i podešavanja početne kartice, ali takođe instalira dodatni kod koji je različit u zavisnosti od zemlje korisnika.

U većini slučajeva instaliraju se druge aplikacije, za koje programeri dobijaju naknadu za uključivanje u proces instalacije SafeFindera.

Ali istraživači K7 kažu da je u nedavnim slučajevima koje su analizirali, vidžet SafeFinder takođe počeo da instalira malvere, poput trojanaca Socelars i Kpot.

U drugim slučajevima, Linkury instalira verziju pregledača Opera na zaraženim uređajima, koja se pokreće i radi tiho u pozadini operativnog sistema da bi prikazivala iskačuće oglase i donosila zaradu operaterima Linkuryja.

Ali oni koji distribuiraju Linkury su takođe koristili SafeFinder za prinudno instaliranje ekstenzija u pregledačima korisnika, u Chromeu i Firefoxu za korisnike Windowsa i Safariju, Chromeu i Firefoxu za korisnike Mac računara.

Pored toga, istraživači K7 su takođe primetili da je instalacioni program SafeFinder takođe sadržao mnoge funkcionalnosti specifične za malver, kao što su PowerShell skripte za onemogućavanje Windows Defendera i funkcije za otkrivanje pokretanja instalacionog programa unutar virtuelnih mašina i sandboxa, okruženja koja se obično koriste za analizu malvera - što očigledno kriminalci žele da izbegnu.

I na kraju, ali ne najmanje važno, SafeFinder Linkuryja ne uvažava izbore korisnika. Čak i ako korisnik pokuša da izbegne postupak instalacije malvera, klikom na „Ne“, to neće biti moguće.