Adware
Adware (advertising-supported software) to oprogramowanie, które utrzymuje się z wyświetlania albo wstrzykiwania reklam. W wersji “oficjalnej” autor darmowego toola pokazuje banery albo oferuje płatne wyłączenie reklam. W wersji, którą widzę częściej w skargach czytelników, adware wchodzi bokiem: bundel w instalatorze, pasek narzędzi, zmiana wyszukiwarki, pop-upy poza przeglądarką, przekierowania DNS na poziomie hosta.
Na blackweb.pl granica między irytacją a malware jest praktyczna. Jeśli użytkownik świadomie zaakceptował model reklamowy i wie, jak odinstalować, to produkt z reklamami. Jeśli zgoda była schowana w “Next, Next, Finish”, a usuwanie wymaga trzech tooli, jesteśmy bliżej kategorii szkodliwej. Część adware zachowuje się jak lekkie spyware: profiluje historię, żeby “dopasować” reklamy.
Skąd się bierze
Instalatory “darmowych” programów z dodatkowym checkboxem. Fałszywe aktualizacje Flash i Codec. Rozszerzenia przeglądarki z store’ów o słabej moderacji. Cracki i keygeny (wektor łączony z trojanem). Czasem legalna aplikacja partnerzy z siecią reklamową, która dokłada trackery. Tekst o blokerach reklam i trackerów oraz o cookies siedzi obok tego tematu od strony prywatności.
Adware lubi przeglądarkę, bo tam jest uwagę i kliknięcia. Nowy toolbar, strona startowa “search-something-safe”, powiadomienia push z domen, których nie znałeś. Na Androidzie podobną rolę grają agresywne aplikacje z bocznych sklepów i nadmierne uprawnienia powiadomień.
Objawy (obserwacyjne)
Wyskakujące okna przy zamkniętej przeglądarce. Spowolnienie przez procesy w tle. Nietypowe rozszerzenia, których nie instalowałeś świadomie. Przekierowania wyników wyszukiwania. Wzrost zużycia danych. Same w sobie nie dowodzą adware (reklamy webowe też męczą), ale razem z nowymi wpisami w autostarcie budują obraz.
Część rodzin dokłada się do łańcucha: najpierw adware, potem dropper, potem infostealer albo miner. Nie zawsze. Czasem zostaje przy reklamach. Incident response i tak zaczyna od pytania, co jeszcze weszło.
Adware a trackery i PUP
PUP (potentially unwanted program) to etykieta vendorów antywirusowych na szarą strefę. Tracker w sensie webowym działa w przeglądarce bez instalacji natywnej. Adware często instaluje się głębiej. Obrona różni się: bloker treści vs deinstalacja vs reimage. Opsec na czystej stacji zakłada, że bundel z “optymalizatorem PC” nie jest neutralny.
Co robić opisowo
Instalacje ze znanych źródeł, czytanie ekranów custom setup, unikanie cracków. Blokery treści zmniejszają powierzchnię webową, nie usuwają natywnego adware. Odinstalowanie z panelu systemu, potem sprawdzenie rozszerzeń i skrótów. W uporczywych przypadkach: nowe profil użytkownika albo czysta instalacja. Na telefonie: przegląd uprawnień i źródeł APK.
Adware żywi się uwagą i czasem danymi. Gdy zaczyna kraść hasła, etykieta powinna się zmienić na poważniejszą klasę malware. Removery z reklamą w tytule bywają kolejnym bundlem. Czyste źródło naprawy wygrywa z kolejnym “optymalizatorem”.