Keresőszolgáltatásnak álcázott reklámprogram

A MicrowinSearch reklámprogram a Windows operációs rendszer esetében olyan módosításokat hajt végre, amelyek révén egy szolgáltatás formájában, a háttérben folyamatosan képes monitorozni a hálózati adatforgalmat. A nemkívánatos program egy Windows keresőszoftvernek valamint egy alkalmazásmenedzsmentet végző szolgáltatásnak álcázza magát. Természetesen arról is gondoskodik, hogy a Windows minden egyes újraindításakor automatikusan betöltődjön.

Az Isidor Biztonsági Központ közleménye szerint a MicrowinSearch alapvetően kétféle módon képes a felhasználókat különböző weboldalakra csalni. Egyrészt a webes keresőkben megjelenő találati eredményeket manipulálja, másrészt rendszeresen felbukkanó reklámablakokat jelenít meg.

Amikor a MicrowinSearch reklámprogram elindul, akkor az alábbi műveleteket hajtja végre:

1. Létrehozza a következő állományt:
%SYSTEM%/WindowServiceNT.exe

2. A regisztrációs adatbázisban létrehozza az alábbi értékeket:
HKLM/SYSTEM/CurrentControlSet/Services/ApplicationSpecialManagement/Start="dword:00000002"
HKLM/SYSTEM/CurrentControlSet/Services/ApplicationSpecialManagement/Type="dword:00000010"
HKLM/SYSTEM/CurrentControlSet/Services/ApplicationSpecialManagement/DisplayName="Application Special Management"
HKLM/SYSTEM/CurrentControlSet/Services/ApplicationSpecialManagement/ObjectName="LocalSystem"

3. Csatlakozik egy előre meghatározott távoli szerverhez, amelyről fájlokat tölt le. Az állományokat a következők szerint menti le:
%SYSTEM%/MicrowindowSearch/MicrowindowSearch.exe
%SYSTEM%/MicrowindowSearch/MicrowindowSearch.dat

4. A regisztrációs adatbázishoz hozzáfűzi a következő bejegyzést:
HKLM/Software/Microsoft/Windows/CurrentVersion/Run/MicrowindowSearch="%SYSTEM%/microwindowsearch/microwindowsearch.exe"

5. A regisztrációs adatbázishoz hozzáadja az alábbi értékeket:
HKCU/Software/AppDataLow/MicrowindowSearch/ActiveDate="[telepítés dátuma]"
HKCU/Software/AppDataLow/MicrowindowSearch/UpdateTime="[telepítés dátuma]"
HKCU/Software/AppDataLow/MicrowindowSearch/partnerID="MicrowindowSearch_ [...]"

6, Interneten keresztül jelzi a támadói felé a fertőzés sikerességét.

7. Manipulálja a webes keresőkben megjelenő találati eredményeket, és rendszeresen felbukkanó reklámablakokat jelenít meg.