Crônicas do CoolWebSearch

Nota Importante

Tradução autorizada para o Português do Brasil de “The CoolWebSearch Chronicles”. O tradutor deste documento não possui qualquer direito sobre o conteúdo do documento original. Todos os direitos autorais pertencem à Trend Micro, Inc, a companhia que faz o antivírus PC-Cillin e adquiriu a InterMute, antiga proprietária deste documento.

Você pode ver o artigo original, em inglês, The CoolWebSearch Chronicles. Existe também uma versão antiga do documento que pode ser encontrada no site de Merijn. A tradução foi baseada na versão antiga, mantida por Merijn, pois contém informações mais detalhadas e é mais bem-humorada que a versão mantida pela Trend Micro.

Introdução

Este é um artigo que detalha as variantes do hijacker de navegador CoolWebSearch, conhecido como CWS. Nos últimos meses, as pessoas por trás desse nome conseguiram, na minha opinião, se tornar um problema ainda maior do que o conhecido Lop.com

A dificuldade para se remover uma variante do CWS cresceu de
simples até quase impossível nas variantes mais novas. Algumas das variantes usam até mesmo técnicas para se esconder que nunca foram usadas antes em qualquer spyware.

A ordem cronológica do aparecimento de cada variante está aqui, junto com datas aproximadas quando elas apareceram online pela primeira vez. Porém, como os programadores malvados por trás do CoolWebSearch lançaram mais de duas dúzias de variantes do hijacker em um período muito curto, é bem provável que este documento esteja desatualizado.

A ferramenta CWShredder^[1] para remover o CoolWebSearchestará sempre atualizada quando novas variantes aparecerem.

Conteúdo

Mais informações

• Como eu me livro do CoolWebSearch?
• Como ele entrou no meu sistema?
• O que eu faço para que ele não me infecte novamente?

CWS.Datanotary

V1: Introdução à Destruição

Entradas no HijackThis

A primeira variante do CoolWebSearch nem era identificada como tal. Só havia alguns usuários dizendo que o Internet Explorer ficava muito lento se eles digitassem mensagens em campos de texto. Alguns usuários disseram que demorava mais de um minuto para que o texto aparecesse depois de digitado, além de redirecionamentospara http://www.datanotary.com

A solução para o problema demorou um pouco para aparecer, mas depois de algumas semanas (o que é muito) alguém disse que o problema desaparecia se você fosse até as Opções do Internet Explorer, indo em Acessibilidade e desmarcasse o botão “Formatar documento usando minha folha de estilos”. Depois disso, a folha de estilos falsa poderia ser deletada.

O hijacker instalava uma folha de estilos em cascata que explorava uma falha no Internet Explorer que permitia que um arquivo .css executasse códigos JavaScript. O código no arquivo estava encriptado e criava um pop up fora da tela que redirecionava o usuário. Porém, essa rotina era chamada quando você fazia qualquer coisa no IE — isso se tornava mais óbvio enquanto digitava textos.

Voltar ao Topo

CWS.Bootconf

V2: Evolução

Entradas no HijackThis

A segunda variante se parecia com a primeira somente em um aspecto: ela usava o mesmo arquivo .css. Mas ela levou o hijacker um passo à frente, não por trocar a página inicial e a página de busca, mas trocando esses valores para lixo hexadecimal ilegível.

Somente quando esse lixo hexadecimal foi decifrado é que ficou claro que a CoolWebSearch é que estava por trás de tudo. É como se eles tivessem deixado a Datanotary fazer um test drive com o exploit da folhade estilos antesdeles usarem.

O hijack também mudava o erro “Servidor não encontrado” para a página principal do portal CoolWebSearch, usando o arquivo HOSTS e recarregando todo o hijacker quando o sistema reiniciasse usando o arquivo
bootconf.exe que inicia com o Windows.

Nós também começamos a ver alguns afiliados do CoolWebSearch, pois todos os links se direcionavam para http://www.coolwebsearch.com.

Voltar ao Topo

CWS.OSLogo

V3: Mande os afiliados

Entradas no HijackThis

Depois que o HijackThis foi atualizado para alguns truques do CWS, uma nova variante apareceu que mostrou que o CWS estava apenas começando. O nome do arquivo da folha de estilos mudou para um nome que nem parecia uma folha de estilos por fora, mas foi aceito pelo IE mesmo assim. Dois novos domínios foram adicionados nos “Sites confiáveis” do Internet Explorer para que o CWS pudesse fazer seu trabalho sujo e instalar novas atualizações se elas se tornassem disponíveis.

Mas além disso, a página inicial e de busca do IE foram modificadas para dezenas de sites diferentes que eram sites dos afiliados do CWS. Parecianão haver um fim ao número de domínios diferentes que os usuários eram redirecionados. Enquanto escrevo isso, mais de 80 domínios são de afiliados conhecidos do CWS — e todos eles apareceram nos logs dos usuários.

Voltar ao Topo

CWS.Vrape

V4: Misture e mexa

Entradas no HijackThis

Provavelmente a variante mais comum do CWS, esta foi um pesadelo para o usuário comum. Ela combina muitos métodos de hijacking, junto com redirecionamentos aleatórios para sites de pornografia, portais e discadores.

O hijack monitorava quase tudo do IE e o usuário ficava apenas sentado olhando tudo que ele fizesse resultando em um redirecionamento para vrape.hardloved.com. Uma coisa estranha sobre esse hijacker é que ele trabalhava sozinho sem usar qualquer afiliado, além de redirecionar outros sites pornográficos para ele mesmo. Ele só foi ligado ao CWS porque ele apareceu junto com ele em vários logs.

A coisa boa sobre essa variante é que o domínio vrape.hardloved.com está offline por mais de 4 dias enquanto escrevo isso. Não se sabe se isso é porque o site não resistiu ao número gigante de usuários sendo redirecionados, ataques de Denial of Service dos usuários nervosos ou terminação da conta de hospedagem por violação dos termos de serviço, ou outra razão.

Voltar ao Topo

CWS.Msspi

V5: Vamos nos tornar perigosos

Entradas no HijackThis

Quando essa variante apareceu, era a mais difícil para se remover. Os usuários começaram a dizer que quando eles visitavam o Google, Yahoo! ou Altavista para procurar alguma coisa, popups apareciam, na maioria das vezes, falando sobre “Resultados Melhores” (Enhanced Results). Esse é o único sintoma.

Depois de olhar no log foi fácil concluir que o msspi.dll era o culpado. Um especialista analisou o arquivo e achou certos endereços que eram monitorados e ao mudar esses endereços para endereços inexistentes os popups desapareciam.

Porém, o arquivo se ligava na corrente LSP do Winsock do Windows, que é localizada no interior do sistema do Windows e é uma das partes mais difíceis para se manipular. Somente alguns poucos spywares usam este método de infecção e remover incorretamente faz com que o computador quebre sua conexão com a Internet, de tal modo que nem uma reinstalação do Windows resolve o problema.

Felizmente existe uma ou duas ferramentas que podem consertar um computadorcom uma conexão quebrada com a Internet devido ao problema.
LSPFix foi o mais usado, pois permite edição direta da corrente LSP.

Voltar ao Topo

CWS.Oemsyspnp

V6: Puro gênio

Entradas no HijackThis

Essa variante foi vista por quase pura sorte, pois usava o mesmo valor de inicialização que a variante CWS.Bootconf, ‘SysPnP’. Esse é um hijacker muito inteligente que se disfarçava de uma atualização de driver. Quando o computador era iniciado, havia uma chance de uma em cinco que o hijacker fosse reinstalado e mudasse as páginas inicial e de busca para allhyperlinks.com.

Quando o hijacker foi identificado ficou muito fácil pará-lo: só o arquivo oemsyspnp.inf devia ser desabilitado da inicialização usando o MSConfig e então ele poderia ser seguramente deletado.

CWS.Oemsyspnp.2

Existe uma mutação dessa variante que usa o arquivo
keymgr3.inf e a chave keymgrldr no registro.

CWS.Oemsyspnp.3

Existe uma outra mutação dessa variante que usa o arquivo
drvupd.inf e a chave drvupd no registro

Voltar ao Topo

CWS.Svchost32

V7: Evitando ser detectado

Entradas no HijackThis

Esta variante do CWS tinha como objetivo apenas evitar que fosse detectada com as ferramentas existentes. O que era visível no log do HijackThis não era nem perto de tudo que ela tinha. O hijacker instala dúzias de redirecionamentos de domínios internacionais dos serviços de busca do Google, MSN e Yahoo para um servidor web rodando localmente no sistema da vítima. O servidor web tinha até mesmo um nome pouco suspeito de svchost32.exe para se parecer com o arquivo de sistema svchost.exe. Sempre que o usuário acessava o Google, usasse a busca do Yahoo ou errase ao digitar uma URL, ele era direcionado para slawsearch.com.

Para consertar o hijack é necessário uma ferramenta para matar o processo do webserver e editar o arquivo HOSTS para remover os redirecionamentos do Google, Yahoo e MSN.

Voltar ao Topo

CWS.Dnsrelay

V8: Hei.. isso não estava aqui antes!

Entradas no HijackThis

Um hijacker muito inteligente que usa um método que nunca tinha sido usado antes por outros hijackers, essa variante monitora todas as URLs colocadas na barra de Endereço do IE e redireciona qualquer URLs que não tem o “www” no início para allhyperlinks.com. Esse hijacker não é muito comum e é difícil de ser notado. Por sorte, para retirá-lo é necessário apenas deletar um arquivo e um valor no registro.

CWS.Dnsrelay.2

Existe uma mutação dessa variante que usa o nome
ASTCTL32.OCX para o arquivo.

CWS.Dnsrelay.3

Existe uma mutação dessa variante que usa o nome
mswsc10.dll para o arquivo, que é localizado em C:Program FilesCommon FilesWeb Folders^[2]. O IE é redirecionado para payfortraffic.net. Essa mutação também adiciona uma folha de estilos (como
CWS.Bootconf), localizada em C:Program FilesInternet ExplorerReadme.txt^[2] (este arquivo não existe em sistemas que não estão infectados). A mutação usa o nome nvstart para o valor no registro que será usado para registrar mswsc10.dll novamente após a reinicialização.

CWS.Dnsrelay.4

Existe uma mutação que é igual a
CWS.Dnsrelay.3, mas usa
mswsc20.dll como o nome do arquivo, localizado no mesmo lugar. Essa mutação redireciona o IE para gofreegalleries.com, usando a mesma folha de estilos e usando o arquivo HOSTS para redirecionar vários sites para allhyperlinks.com.

Voltar ao Topo

CWS.Msinfo

V9: Ficando sem idéias

Entradas no HijackThis

Essa variante que usa o arquivo chamado msinfo.exe para reinstalar o hijack ao reinicializar parece possuir várias mutações. A primeira parecia travar várias vezes, onde o hijack nem se quer era instalado, mas a referência para ele era. A segunda versão provavelmente corrigiu isso alguns dias depois, já que algumas pessoas começaram a aparecer contaminadas por essa variante. A última versão apareceu junto com uma mutação da segunda variante (CWS.Bootconf — bootconf.exe).

O arquivo msinfo.exe é instalado na pasta Windows onde também existe o arquivo legítimo msinfo32.exe. Ele é iniciado pelo win.ini, um método raramente usado atualmente. Ele configura quase todas as páginas iniciais e de busca para URLs em out.true-counter.com e se reinstala toda vez que o sistema for reiniciado. Para remover essa variante é necessário resetar os valores modificados do IE no registro, remover os valores de inicialização no win.ini e no registro e deletar os dois arquivos.

Voltar ao Topo

CWS.Svcinit

V10: Pequeno e esperto companheiro

Entradas no HijackThis

Entradas no StartupList

Essa variante foi um pouco surpreendente, pois corrigir todosos itens no log do HijackThis não a removia completamente — ela voltava depois da reinicialização no Windows 2000 e XP. Só depois que um usuário postou um log do StartupList é que ficou claro que esse hijacker usava outro método para se inicializar junto com o sistema, além das duas entradas já visíveis no log do HijackThis. Terminar o processo e deletar os três métodos de inicialização corrige o problema. Além disso, mssys.exe está possivelmente envolvido nesse hijack.

CWS.Svcinit.2

Existe uma mutação dessa variante que usa
svcpack.exe para o nome do arquivo. Redireciona o usuário para http:/// e usa os mesmos métodos de inicialização que a primeira versão. Também cria o arquivo SVCHOST.OLD para fins desconhecidos.

CWS.Svcinit.3

Existe uma mutação dessa variante que redireciona o usuário para xwebsearch.biz e http:///, além de instalar um arquivo HOSTS que redireciona vários sites de diallers (discadores) para searchmeup.com.

CWS.Svcinit.4

Existe uma mutação dessa variante que redireciona o IE para sex.free4porno.net e adiciona links de sites pornográficos aos favoritos no IE e na área de trabalho. Ele se reinstala através do arquivo
c:windowssvchost.exe (note que o arquivo legítimo do Windows fica na pasta system32) que roda na inicialização com o nome de
Online Service. Ela também usa o trojan msin32.dll para objetivos desconhecidos.

Voltar ao Topo

CWS.Tapicfg

V11: MSInfo Parte II

Entradas no HijackThis

Essa variante consiste de apenas um arquivo que se duplica em doislocais (info32.exe e tapicfg.exe) e age de forma diferente dependendo do seu nome. Ele instala duas folhas de estilo no sistema, redireciona o IE para acc.count-all.com (que então redireciona para luckysearch.net) e reinstala o hijack ao reinicializar. O arquivo HOSTS também é modificado para redirecionar domínios para luckysearch.net. Embora determinar a ação de um programa, dependendo do nome do arquivo é um hábito ruim, ele me surpeendeu por funcionar tão bem.

CWS.Tapicfg.2

Existe uma mutação dessa variante que usa soundmx.exe para o nome do arquivo e redireciona o IE para globe-finder por uma página de redirecionamentos em in.webcounter.cc. Possivelmente o mesmo arquivo é carregado com o nome de fntldr.exe através do win.ini. Um redirecionamento pelo arquivo HOSTS de auto.search.msn.com para globe-finder é instalado. Duas folhas de estilo com o nome de tips.ini e hh.hht são instaladas.

Voltar ao Topo

CWS.Ctfmon32

V12: SlawSearch Parte II

Entradas no HijackThis

O CWShredder já podia remover essa variante, mas ela iria voltar após a reinicialização. Com exceção do nome ctfmon32.exe para o arquivo (note que ctfmon.exe é um arquivo do Windows), ela funciona do mesmo jeito que
CWS.Bootconf: o arquivo carrega ao iniciar o sistema, muda a página inicial e de busca e então fecha. Apagando o arquivo e resetando as páginas do IE de volta ao normal corrige o problema.

Voltar ao Topo

CWS.Msoffice

V13: Exploit do HTA revisitado

Entradas no HijackThis

Essa variante usa um script .HTA para reinstalar o hijack ao reinicializar. O arquivo msoffice.hta é difícil de ser encontrado, pois está na pasta “Fonts”, que é uma pasta especial do Windows, configurada para esconder todos os arquivos que não forem arquivos de fontes. Por esse motivo, um Prompt de Commando é necessário para que o arquivo seja visto e deletado. Deletando o arquivo e resetando a página inicial e a página de busca no IE conserta o hijack.

CWS.Msoffice.2

Existe uma mutação dessa variante que redireciona o IE para sexpatriot.net e royalsearch.net e instala um arquivo HOSTS que redireciona dois sites pornográficos para 64.246.33.179 e se reinstala através do arquivo fonts.hta com o nome de AdobeFonts

CWS.Msoffice.3

Existe uma mutação dessa variante que redireciona o IE para supersearch.com e hugesearch.net, usando um arquivo chamado
fonts.hta e o nome TrueFonts. Ela também muda o DefaultPrefix e o WWWPrefix para redirecionar todos os sites para hugesearch.net.

Voltar ao Topo

CWS.Dreplace

V14: Só um BHO… ou será que É?

Entradas no HijackThis

Essa variante instala um Browser Helper Object (BHO) por razões desconhecidas, porém, é provável que o BHO esteja lá para que xwebsearch.biz seja configurada como página inicial. O Verisign Sitefinder é redirecionado, então todos os domínios que forem digitados incorretamente serão redirecionados para 213.159.117.233.

CWS.Dreplace.2

Existe uma segunda versão dessa variante que usa o truque mais sujo que eu já vi em um pedaço de malware. Ela modificou o arquivo dreplace.dll de um certo modo que removendo ele com o HijackThis ou com o CWShredder faria com que o sistema falhasse completamente no Windows 98/98SE/ME! O hijack é o mesmo que na primeira versão e tanto o HijackThis quanto o CWShredder foram atualizados para que o problema não aconteça mais.

Voltar ao Topo

CWS.Mupdate

V15: Mexendo em todo lugar

Entradas no HijackThis

Essa variante não é muito comum, mas ela supreende pela sua persistência. Ela roda de três lugares diferentes ao iniciar o sistema, além de rodar um arquivo .reg que reinstala o hijack. Ela também adiciona um site de conteúdo adulto nos “Sites confiáveis” e redireciona URLs digitadas incorretamente para runsearch.com.

Voltar ao Topo

CWS.Addclass

V16: Edição de Halloween

Entradas no HijackThis

Essa variante começou a atacar quando um exemplar dela (e uma atualização do CWShredder) foi encontrado. O hijack envolve o arquivo AddClass.exe que instala o hijack e reinstala-o ao reiniciar o sistema. Ele também muda o DefaultPrefix e o WWW Prefix e um prefixo “www.”, que não funciona, de modo que a cada vez que você digitar um endereço sem ‘http://’ no início seja redirecionado para ehttp.cc antes de chegar ao destino correto. Em outras palavras, eles guardam a informação dos sites que você visita. Felizmente, eles são simpáticos por nos dar uma
ferramenta de desinstalação para o “Protocolo HTTP Melhorado” no site deles, mas isso só irá remover parte do hijack.

Voltar ao Topo

CWS.Googlems

V17: Nós somos destrutivos!

Entradas no HijackThis

Essa variante foi a primeira do seu tipo, pois um desenvolvimento importante pode ser observado: ela troca o principal executável do Windows Media Player por uma cópia do trojan. Nenhuma outra variante modifica ou deleta arquivos de sistema, mas essa sim. Ela também instala um BHO que reinstala o hijack ao reiniciar o sistema. Deletando GoogleMS.dll e reinstalar o Windows Media Player corrige o problema.

CWS.Googlems.2

Existe uma mutação dessa variante que redireciona o IE para idgsearch.com e 2020search.com, instala um BHO com o nome de ‘Microsoft SearchWord’ usando o arquivo
SearchWord.dll no mesmo lugar que a primeira versão. Também adiciona *.xxxtoolbar.com na lista de “Sites confiáveis” do IE.

CWS.Googlems.3

Existe uma mutação dessa variante que redireciona o IE para idgsearch.com e instala um BHO com o nome de ‘Microsoft SearchWord’ usando o arquivo Word10.dll na pasta C:Documents And Settings[usuário]Application DataMicrosoftOffice. Essa mutação também usa um arquivo notepad.exe falso na pasta system que reinstala o hijack.

CWS.Googlems.4

Existe uma mutação dessa variante que redireciona o IE para idgsearch.com, 2020search.com e possivelmente couldnotfind.com. Instala um arquivo HOSTS que redireciona vários afiliados do CoolWebSearch, um domínio do lop.com e um domínio incorreto da SpywareINFO e vários sites pornográficos para 69.56.223.196 (idgsearch.com). Tambem instala um BHO com o nome de ‘Microsoft Excel’ usando o arquivo
Excel10.dl que fica na mesma pasta que CWS.Googlems.3. Além disso, *.xxxtoolbar.com e *.teensguru.com são adicionados para a lista de “Sites confiáveis” do Internet Explorer.

Voltar ao Topo

CWS.Loadbat

V18: O Sujo

Entradas no HijackThis

Subestimada de início, essa variante do CWS usava um truque muito inteligente para reinstalar o hijack no sistema, fazendo com que o culpado parecesse ser o shell.dll ou o win64.drv, quando na verdade era apenas um arquivo chamado Load.bat, unindo um arquivo .reg ao registro.

Existe uma segunda mutação que instala um arquivo HOSTS que redireciona auto.search.msn.com e o Verisign Sitefinder para alguma coisa chamada ‘FLS’ que contém links para umaxsearch.com. Também redireciona domínios do smutserver.com para outro site pornográfico.

Para remover essa variante manualmente é suficiente remover as entradas de inicialização no registro e remover os arquivos hp.htm,
load.bat e srch.reg da pasta do Windows e resetar as páginas do IE.

Voltar ao Topo

CWS.Alfasearch

V19: Brinquedo de criança

Entradas no HijackThis

Provavelmente a variante mais simples desde a
CWS.Datanotary, este hijacker só faz coisas básicas: muda sua página inicial e de busca, adiciona sites pornográficos aos Favoritos e mostra um mensagem falsa de erro ao iniciar. Apagar o arquivo MSupdate.exe da pasta Inicializar do All Users, remover os sites dos favoritos e resetar a página inicial e de busca do IE corrige o problema. O arquivo MSupdate.exe pode instalar um arquivo hosts malicioso também, mas parece não fazer isso.

CWS.Alfasearch.2

Existe uma mutação dessa variante que redireciona o IE para http://www.find-itnow.com, instala 7 sites de conteúdo adulto nos favoritos e gera mensagens de erro sobre o “Win Min” ao desligar o sistema, além de uma mensagem de erro falsa na inicialização. Ela instala um arquivo Winlogon.exe falso na pasta “Inicializar” do All Users ou no grupo de inicialização do usuário atual. Este arquivo está sempre rodando e é difícil de remover.
Se o CWShredder repetidamente diz que consegue remover essa variante, ele não consegue remover o Winlogon.exe. Para remover este arquivo manualmente, mova-o para fora da pasta de inicialização, reinicie e apague-o.

CWS.Alfasearch.3

Existe outra mutação dessa variante que redireciona o IE para http://www.alfa-search.com e se reinstala usando um script VBS encriptado de três locais no registro, usando o arquivo rundll32.vbe com o nome de Windows Security Assistant. Ele também instala uma folha de estilos chamada readme.txt, localizado na pasta de sistema do Windows, além de 9 sites adultos nos favoritos e 6 na área de trabalho. Também instala um arquivo HOSTS que redireciona 8 sites de busca e um site pornô para 64.124.222.169 (alfa-search.com).

Voltar ao Topo

CWS.Xplugin

V20: ‘Ajudando’ você a procurar na Internet

Entradas no HijackThis

Essa variante é a primeira que não pode ser vista no log do HijackThis. Invisível, ela muda links na busca do Google para outras páginas. Levou um tempo para descobrir como essa variante funcionava, pois ela não era encontrada nos locais comuns.

Um arquivo de nome xplugin.dll é instalado, que cria um novo filtro de protocolo para text/html. Falando em português, isso quer dizer que ele pode ler todas as páginas que você visita, usando isso para alterar links na busca do Google para que você seja redirecionado para umaxsearch.com e coolwebsearch.com. Ele diz ser feito por algo chamado TMKSoft.

Não se sabe se deletar o arquivo não traz nenhum problema ao sistema, mas usar o CWShredder ou usar o comando
regsvr32 /u c:windowssystem32xplugin.dll (pode variar dependendo da versão do Windows) corrige o hijack completamente.

Voltar ao Topo

CWS.Qttasks

V21: Ainda mais simples que a CWS.Alfasearch

Entradas no HijackThis

Imitando a entrada de inicialização legítima do ‘Quicktime Task’ no registro (que fica no HKLM), esta variante é executada na inicialização para trocar a página inicial para start-space.com. É isso. Sério!

Voltar ao Topo

CWS.Msconfd

V22: Finalmente usando o rundll32

Entradas no HijackThis

Entradas no StartupList

Esta é a primeira variante que usa um arquivo DLL junto com o programa rundll32 do Windows. Isso dificulta o reconhecimento do verdadeiro culpado, msconfd.dll, que redireciona o IE para webcoolsearch.com e adiciona 11 sites pornográficos nos favoritos do IE, sendo que 4 possivelmente possuem pornografia infantil.

Remover a entrada de inicialização no registro e resetar o IE corrige uma boa parte do problema. Na remoção do msconfd.dll é necessário renomear o arquivo, reiniciar o sistema e só então apagar o arquivo renomeado.

CWS.Msconfd.2

Existe uma mutação dessa variante que usa o arquivo avpcc.dll ou o ctrlpan.dll que se liga no Windows da mesma forma que a primeira. Essa mutação deleta todos os favoritos do IE e depois coloca os seus sites pornográficos no lugar deles.

CWS.Msconfd.3

Existe outra mutação dessa variante que usa o arquivo
cpan.dll.

Voltar ao Topo

CWS.Therealsearch

V23: A miséria anda em pares

Entradas no HijackThis

Essa variante parecia ser pior do que ela realmente era. Já que ela tinha dois processos, ela parecia com o
Trojan Peper que era difícil de ser removido. Mas esses processos não são como os do Peper. O menor deles, quicken.exe, baixa e executa o outro, editpad.exe (como em CWS.Aff.Iedll) redireciona o IE para therealsearch.com, além de colocar os dois processos na inicialização.

Para remover essa variante é necessário um gerenciador de processos para finalizar o editpad.exe e o quicken.exe, para então apagar os arquivos e resetar a página inicial e a de busca do IE, além de remover CWS.Aff.Tooncomics.2, que possivelmente é instalada por esta variante.

CWS.Therealsearch.2

Há uma mutação dessa variante que direciona o IE para my.search (sic) e usa os arquivos c:windowswinrar.exe e c:windowswaol.exe.

Voltar ao Topo

CWS.Control

V24: Cara, onde está meu Painel de Controle?

Entradas no HijackThis

Essa variante seria simples se ela não colocasse um arquivo na pasta Windows que substitui um arquivo do sistema no Windows 9x/ME — é possível que o seu Painel de Controle pare de funcionar depois de ser infectado com essa variante do CWS. Você precisa do System File Checker (sfc.exe) para recuperar o arquivo control.exe do seu CD de instalação do Windows. O Windows NT/2000/XP não possui este problema com essa variante (já que o control.exe fica na pasta system32).

CWS.Control.2

Existe uma mutação dessa variante que é idêntica em todos os aspectos, mas o control.exe está sempre na memória.

CWS.Control.3

Existe uma mutação dessa variante que usa arquivos e entradas no registro aleatórias.

Voltar ao Topo

CWS.Olehelp

V25: Quem quer alguns sites nos favoritos?

Entradas no HijackThis

Essa variante é muito simples. Ela inicializa um arquivo chamado
olehelp.exe através do registro, que modifica a página inicial e de busca do IE para omega-search.com, além de adicionar ridículos 107 novos sites nos favoritos, dos quais 14 são pornográficos.

Eliminar a chave no registro e deletar o arquivo e os sites nos favoritos corrige o problema.

Voltar ao Topo

CWS.Smartsearch

V26: Contra-contra-ataques

Entradas no HijackThis

Essa variante é um pouco difícil de ser detectada, pois usa dezenas de nomes diferentes para os arquivos. Por sorte, todos usam os mesmos nomes nas entradas do registro. O arquivo está sempre rodando e reinstala o hijack para smartsearch.ws a cada 10 segundos. Finalizar o processo do trojan, apagar/resetar todas as entradas no registro que ele adicionou e remover os arquivos corrige o hijack.

CWS.Smartsearch.2

Existe uma mutação dessa variante que tenta fechar o CWShredder, HijackThis, Ad-Aware, Spybot-S&D e os fóruns da SpywareInfo quando abertos. Usa o arquivo de nome IEXPLORER.EXE (repare o “R” no fim) e um valor diferente no registro. Ele instala também um arquivo HOSTS que bloqueia mais de duas dúzias de sites anti-spywares. O CWShredder foi atualizado para não ter problemas com isso. (Nota de Tradução: essa variante é também conhecida como CWS.Smartkill)

CWS.Smartsearch.3

Existe uma mutação dessa variante que usa o nome ‘coolwebprogram’ para a entrada de inicialização e tenta fechar os mesmos programas que a CWS.Smartsearch.2. Ela também instala o arquivo notepad32.exe e muda os arquivos .txt e .log para serem abertos com esse programa antes do Bloco de Notas verdadeiro, assim reinstalando o hijack novamente.

CWS.Smartsearch.4

Existe uma mutação dessa variante que redireciona para magicsearch.ws e não smartsearch.ws. Usa o nome ‘MicrosoftWindows’ para entrada no registro e também instala o notepad32.exe como o
CWS.Smartsearch.3. Também muda o prefixo WWW e o prefixo padrão para magicsearch.ws, como CWS.Vrape faz, além de tentar fechar firewalls como o Zone Alarm e Kerio.

Arquivos usados por essa variante

C:Program Filesdirectxdirectx.exe
C:Program FilesCommon FilesSystemsysteem.exe
C:Windowsexplore.exe (note a falta de um ‘r’)
C:WindowsSysteminternet.exe
C:WindowsMediawmplayer.exe
C:WindowsHelphelpcvs.exe
C:Program FilesAccessoriesaccesss.exe
C:Gamessystemcritical.exe
C:Documents Settingssistem.exe
C:Program FilesCommon FilesWindows Media Playerwmplayer.exe
C:WindowsStart MenuProgramsAccessoriesGame.exe
C:Windowssistem.exe
C:WindowsSystemRunDll16.exe
C:Windowsiexplorer.exe (repare no “i” e “r” extras )
C:y.exe
C:x.exe

c:funny.exe
c:funniest.exe
c:Windowsnotepad32.exe
C:Windowssystemkazaa.exe
C:Windowssystem32kazaa.exe
C:Program FilesCommon FilesServicesiexplorer.exe
C:Program FilesCommon FilesServicesexplore.exe
C:Program FilesCommon FilesServicesexploreer.exe
C:Program FilesCommon FilesServicessistem.exe
C:Program FilesCommon FilesServicescritical.exe
C:Program FilesCommon FilesServicesdirectx.exe
C:Program FilesCommon FilesServicesinternet.exe
C:Program FilesCommon FilesServiceswindow.exe
C:Program FilesCommon FilesServiceswinmgnt.exe
C:Program FilesCommon FilesServicesclrssn.exe
C:Program FilesCommon FilesServicesexplorer32.exe
C:Program FilesCommon FilesServiceswin32e.exe
C:Program FilesCommon FilesServicesdirectx32.exe
C:Program FilesCommon FilesServicesuninstall.exe
C:Program FilesCommon FilesServicesvolume.exe
C:Program FilesCommon FilesServicesautorun.exe
C:Program FilesCommon FilesServicesusers32.exe
C:Program FilesCommon FilesServicesnotepad.exe
C:Program FilesCommon FilesServiceswin64.exe
C:Program FilesCommon FilesServicesinetinf.exe
C:Program FilesCommon FilesServicestime.exe
C:Program FilesCommon FilesServicessysteem.exe

c:Windowssystem32iexplorer.exe
c:Windowssystem32explore.exe
c:Windowssystem32exploreer.exe
c:Windowssystem32sistem.exe
c:Windowssystem32critical.exe
c:Windowssystem32directx.exe
c:Windowssystem32internet.exe
c:Windowssystem32window.exe
c:Windowssystem32winmgnt.exe
c:Windowssystem32clrssn.exe
c:Windowssystem32explorer32.exe
c:Windowssystem32win32e.exe
c:Windowssystem32directx32.exe
c:Windowssystem32uninstall.exe
c:Windowssystem32volume.exe
c:Windowssystem32autorun.exe
c:Windowssystem32users32.exe
c:Windowssystem32win64.exe
c:Windowssystem32inetinf.exe
c:Windowssystem32time.exe
c:Windowssystem32systeem.exe

Voltar ao Topo

CWS.Smartfinder

V27: Descobrindo novos caminhos

Entradas no HijackThis

Entradas no StartupList

Essa variante é muito inteligente pois usa dois métodos de inicialização (ShellServiceObjectDelayLoad e SharedTaskScheduler) que devem ser os dois métodos mais raros existentes, além de usá-los de forma diferente no Windows 9x/ME e no Windows NT/2000/XP. Ambos os métodos fazem com que o arquivo seja carregado quando o “Explorer” for carregado, fazendo com que o arquivo fique sempre na memória como o CWS.Msconfd. Se isso não fosse o bastante, os arquivos realmente responsáveis pela infecção não podem ser vistos no log do HijackThis e somente um deles é exibido no log do StartupList. O arquivo responsável é o mtwirl32.dll e para removê-lo é necessário renomeá-lo, reiniciar o sistema e então apagá-lo, já que deletar diretamente não é possível, pois está em uso. Depois disso, ainda é necessário remover a chave no registro.

CWS.Smartfinder.2

Existe uma mutação dessa variante que é mais difícil de ser removida, mas basicamente usa o mesmo método para inicializar e o mesmo CLSID. Além disso, ela usa um BHO com o nome de mshelper.dll que recria qualquer chave no registro que você apague para remover essa mutação.

Apagar o BHO faz com que as chaves não possam ser recriadas e então podem ser apagados seguramente. Note que o BHO, embora parecido com o Osborntech Popup Blocker, pode ser diferenciado pelo CLSID e pela localização do arquivo (o verdadeiro fica em uma pasta separada na pasta Arquivos de Programas).

Voltar ao Topo

CWS.Yexe

V28: Tanto faz

Entradas no HijackThis

Essa variante usa um nome para o arquivo que é geralmente usado como instalador para outras variantes do CWS ou Lop.com (y.exe), mas o usa como o arquivo principal do hijacker. Ele é inicializado pelo win.ini e pelo system.ini de um modo estranho que nem devia funcionar e instala um BHO que parece reagir se certas palavras-chave forem encontradas em uma página. Remover o BHO, as entradas no win.ini e no system.ini e deletar o y.exe corrige o problema.

CWS.Yexe.2

Possivelmente existe uma mutação dessa variante que usa o arquivo services.exe em vez de y.exe.

Voltar ao Topo

CWS.Gonnasearch

V29: Leve três pelo preço de um

Entradas no HijackThis

Essa variante se difere das outras por instalar não um, mas
três BHOs. O objetivo deles é desconhecido. Remover os tres BHOs e resetar as páginas do IE corrige o problema.

Voltar ao Topo

CWS.Winproc32

V30: Não consigo pensar em nada engraçado para dizer aqui

Entradas no HijackThis

Uma variante muito simples. Winproc32.exe carrega junto com o sistema e redireciona o IE. O arquivo fica na memória, então um gerenciador de processos é necessário para finalizá-lo. Ele adiciona 4 sites pornográficos aos favoritos. Ele também tenta modificar chaves do usuário padrão (HKEY_USERS.DEFAULT), mas não consegue.

Voltar ao Topo

CWS.Msconfig

V31: Destruição mais um

Entradas no HijackThis

Essa variante usa o arquivo nomeado msconfig.exe que substitui o arquivo verdadeiro do Windows nos Windows 98/98SE/ME. O arquivo temp2.txt que ele cria é na verdade um script do registro, mas como está no formato incorreto vai aparecer um erro no Windows 9x/ME sobre um script de registro inválido. No Windows 2000/XP ele vai funcionar sem problemas, criando uma opção ‘??????’ no menu do clique-direito no Internet Explorer.

O arquivo msconfig.exe estará sempre na memória reinstalando o hijack a cada 5 segundos. Matar o processo, apagar o arquivo, resetar as páginas do IE e recuperar o arquivo msconfig.exe verdadeiro conserta o problema.

Voltar ao Topo

CWS.Xxxvideo

V32: Que, você quer dizer que não é um vídeo de XXX?

Entradas no HijackThis

Uma variante muito simples com um script encriptado que roda na incialização reinstalando o hijack. Apagar as entradas de autorun, apagar os dois arquivos .hta e os quatro favoritos consertam o hijack.

Voltar ao Topo

CWS.Winres

V33: About:Blank hackeada

Entradas no HijackThis

Essa variante é a primeira que atinge um resultado surpreendente: consegue modificar a página ‘about:blank’ para uma página de busca. Isso também é visto na variante CWS.Xmlmimefilter usando um método diferente. Essa variante possivelmente adiciona três domínios aos “Sites Confiáveis” do Internet Explorer e mais dois sites na área de trabalho.

Apagar o BHO, resetar as páginas do IE e remover os sites da área de trabalho e da lista de Sites Confiáveis conserta o problema.

Voltar ao Topo

CWS.Xmlmimefilter

V34: About:Blank hackeada V2.0

Entradas no HijackThis

Embora a modificação do About:Blank também fora feito pela variante CWS.Winres, essa nova variante consegue fazer isso de uma forma muito mais elegante. A DLL responsável por cuidar do protocolo ‘about:’ é modificada para uma DLL maliciosa, msxmlpp.dll, mostrando uma página de busca cheia de links para 66.117.38.91 ao invés de uma página em branco.

Mudar o CLSID do protocolo about de volta ao padrão
{3050F406-98B5-11CF-BB82-00AA00BDCE0B}, apagar os arquivos e remover o arquivo hosts conserta o problema.

Voltar ao Topo

CWS.Aboutblank

V35: É apenas moda

Entradas no HijackThis

Essa variante faz tudo que pode para redirecionar você para um domínio contralado por 1-se.com. O IE é redirecionado para ele e o arquivo HOSTS é trocado para redirecionar mais ou menos 100 sites pornográficos e domínios do CoolWebSearch para 1-se.com, além de uma folha de estilos com nome aleatório que é criada para redirecionar para 1-se.com quando certas palavras apareceram em uma página.

Resetar as páginas do IE através de uma busca no registro por about-blank.ws, remover o arquivo HOSTS, remover o arquivo svchost.exe da pasta Windows (o da pasta System32 é legítimo) e apagar a folha de estilos aleatória (1079 ou 1087 bytes de tamanho) corrige o problema.

Voltar ao Topo

CWS.Sounddrv

V36: Sem graça, mas escondido

Entradas no HijackThis

Essa variante é bem pequena, mas sua habilidade para se esconder fica a cargo do nome que usa para o arquivo, que foi primeiramente confundido com um driver para uma placa de som (inclusive por mim). Fora isso, esse hijack é realmente simples. Apagar o arquivo e resetar o IE conserta o problema.

Voltar ao Topo

CWS.Realyellowpage

V37: Causando tendências homicidas

Entradas no HijackThis

Essa variante é um pesadelo. Se você viu um computador infectado que continua mudando as páginas do IE para os sites mencionados por nenhuma razão visível, você provavelmente viu essa aqui. É provável que quem esteja que está por trás dessa variante contratou um programador blackhat e disse para ele fazer o hijacker mais complexo e persistente que ele poderia imaginar. E ele fez.

O arquivo é nomeado aleatoriamente e geralmente se hospeda no processo do Internet Explorer como um módulo. Depois ele esconde o processo da lista de processos. Sim, você leu isso mesmo, o processo que hospeda a DLL desaparece do Gerenciador de Tarefas e da maioria dos gerenciadores de processos que nós tentamos.

Primeiro ele era somente visível com o FAR Explorer, mas mais tarde descobrimos que o PrcView também o mostrava, além de ter algumas ótimas opções para linha de comando, o que faria bons scripts para ajudar na remoção manual. Para Windows 9x/ME, inciar o computador no Modo de Segurança vai fazer com que o arquivo não carregue, permitindo uma maneira mais simples de remoção.

Instruções para remoção manual

• Faça o download do PrcView aqui:
  http://www.merijn.org/files/pv.zip
  e descompacte-o para sua área de trabalho
• Com pelo menos uma janela do Internet Explorer aberta, dê um duplo-clique no arquivo runme.bat
• Selecione a opção ‘2’ do menu. O Bloco de Notas abrirá com um log.
• Procure por uma linha assim:
  winajbm.dll 61c00000 61440 c:windowssystem32winajbm.dll
  O nome do arquivo será sempre diferente.

  Essa parte indica o arquivo ruim:
  61c00000 61440
  Ele sempre começará com esse cabeçalho.

• Anote o arquivo que aparece indicado na linha.
• Agora faça o download do KillBox:
  http://www.downloads.subratam.org/KillBox.zip

As instruções abaixo foram atualizadas e não constam no documento original.

• Na caixa com o título Full Path of File to Delete, coloque o caminho completo do arquivo encontrado anteriormente
• Marque o botão Delete on Reboot e então clique no botão vermelho com um X em branco.
• Responda “Sim” às perguntas que o programa fará. O computador será reiniciado e o arquivo deve ser deletado. Se o arquivo não estiver mais lá e os sintomas tiverem desaparecido o problema foi resolvido.

Informações Técnicas

Win9X/ME

Usa a chave RunServicesOnce do HKLM para ser carregado, que é apagada pelo Windows logo após executar o arquivo e então é recriada pela DLL quando o Windows é desligado. É visível no modo de segurança quando a DLL não é carregada e então pode ser apagada.

WinNT/2000/XP

Usa a chave AppInit_DLLs para ser carregado e possivelmente mais chaves do registro. A função para apagar arquivos ao reiniciar pode ser usada (o KillBox faz isso), desde que o nome do arquivo seja conhecido.

O arquivo está fortemente encriptado usando uma ferramenta desconhecida, possui um cabeçalho PE modificado e trava a maioria (se não todos) dumpers de memória quando tentam despejar o arquivo da memória. Esconde o processo hospedeiro (IEXPLORE.EXE, RUNDLL32.EXE, CONTROL.EXE ou REGSVR32.EXE, dependendo de qual for usado) usando um método desconhecido.

O CWShredder não é capaz de remover essa variante automaticamente.

Voltar ao Topo

CWS.Systeminit

V38: Tamanho real

Entradas no HijackThis

Uma variante pequena que usa dois arquivos para reinstalar o hijack. A folha de estilos redireciona para search-dot.com e duas entradas que iniciam com o sistema modificam as páginas do IE para your-search.info. Uma cópia de backup do arquivo systeminit.exe fica em
C:Documents And Settingssys.exe (esta localização está
hardcoded no trojan). Apagar os três arquivos do trojan, a folha de estilos e os sites adicionados nos favoritos e resetar o IE conserta o problema.

Voltar ao Topo

CWS.Searchx

V39: About:Blank parece popular ultimamente

Entradas no HijackThis

Essa variante não é difícil de ser notada, mas um pouco mais difícil de ser identificada já que os seus sintomas são muito parecidos com os da variante CWS.Xmlmimefilter. Ele cria um DLL de nome aleatório na pasta do sistema e configura as páginas inicial e de busca do IE para ele. Um BHO também é instalado que utiliza a mesma DLL. A página about:blank é modificada através da criação de novos filtros de protocolo para text/html e text/plain, o que permite que a DLL controle a maioria do conteúdo que passa pelo IE, como as páginas de Internet. O trojan mantém um log de todas as ações no arquivo
c:filter.log. Remover os dois filtros no registro, remover o BHO, a DLL, o arquivo de log e resetar o IE conserta o problema.

Nota: CWS.Realyellowpage foi encontrada junto com essa variante algumas vezes, fazendo com que o CWShredder não seja capaz de remover essa variante aqui. Procure o método manual para remover aquela variante e então rode o CWShredder novamente para remover CWS.Searchx.

Voltar ao Topo

Variantes dos Afiliados

Essas variantes não tem uma relação direta com o CoolWebSearch, mas são vistas com ele freqüentemente.

CWS.Aff.iedll

V40: Programador ruim

Entradas no HijackThis

Essa variante de afiliados, de origem desconhecida, possui dois arquivos. O primeiro, loader.exe faz o download do segundo, iedll.exe e o executa. Ambos os arquivos são configurados para iniciar junto com o Windows. O hijack se torna óbvio quando o iedll.exe trava — o que acontece seguidamente. Aparentemente, esse hijacker foi programado de forma tão ruim que ele não vai conseguir mudar as páginas do IE e fazer o hijack. Ele somente está listado aqui pois ele foi visto junto com outras variantes do CWS em várias ocasiões.

CWS.Aff.iedll.2

Existe uma mutação dessa variante que usa os mesmos arquivos, porém eles ficam na pasta
C:Program FilesWindows Media Player.

Voltar ao Topo

CWS.Aff.Winshow

V41: Chega de dois modos

Entradas no HijackThis

Entradas no HijackThis na segunda variante

Essa variante era inicialmente bem inocente, tendo apenas um BHO com o nome de Winshow com objetivos desconhecidos que era visto seguidamente junto com outras variantes do CWS.

CWS.Aff.Winshow.2

A segunda mutação também usa o BHO com o mesmo arquivo, mas adiciona um redirecionamento através do HOSTS para redirecionar endereços de sites digitados incorretamente para um site pornô, além de mudar as páginas do IE para searchv.com na reinicialização usando um comando do registro. Um arquivo com o nome de MSUpdater.exe é colocado na pasta “Inicializar” do Menu Iniciar do “All users” que também carrega o hijack. Apagar os dois arquivos corrige o problema. Ainda não se sabe o que o BHO faz.

CWS.Aff.Winshow.3

Existe uma terceira mutação que usa o arquivo
winlink.dll para o BHO. Ela redireciona o IE para searchv.com e thesten.com. Ela não possui os arquivos adicionais da segunda mutação.

CWS.Aff.Winshow.4

Existe uma quarta mutação dessa variante que adiciona uma entrada de desinstalação no Adicionar/Remover programas com o nome de Winshow e se atualiza automaticamente através de uma chave no registro com o nome de
WinShowUpdate.

CWS.Aff.Winshow.5

Existe uma quinta mutação dessa variante que usa o arquivo iefeatsl.dll, redireciona para search-click.com e se atualiza automaticamente através de uma chave no registro nomeada iefeatslUpdate. Ela também faz o download e instala um BHO com o nome de
SubmitHook.

CWS.Aff.Winshow.6

Existe uma sexta mutação dessa variante que usa um nome aleatório para o nome do arquivo e da pasta com mesmo CLSID das variantes anteriores:
{587DBF2D-9145-4c9e-92C2-1F953DA73773}. Ela também instala um BHO nomeado SubmitHook e se atualiza automaticamente através de uma chave no registro chamada Updater.

Voltar ao Topo

CWS.Aff.Tooncomics

V42: Mudando a internet

Entradas no HijackThis

Essa variante parece é parecida com a CWS.Vrape, pois redireciona vários sites pornográficos para si mesmo e até usa um BHO para mudar o alvo dos links para sites pornográficos como o Toptext da eZula faz. Alguns usuários falaram que não era possível fazer o download do CWShredder pois os links nessa página foram todos alterados para sites pornográficos. A remoção manual é difícil, pois o arquivo DNSErr.dll, responsável por modificar os links, não possui nenhuma rotina de desinstalação como a maioria das DLLs. Porém, apagar o arquivo diretamente não traz nenhum problema.

CWS.Aff.Tooncomics.2

Exista uma mutação dessa variante que usa o arquivo dnse.dll como o BHO e um segundo arquivo ld.exe que está sempre rodando, recarregando o hijack. Nessa mutação, as páginas do IE são modificadas para fastwebfinder.com. Um programa para finalizar processos é necessário para se livrar do ld.exe.

Voltar ao Topo

CWS.Aff.Madfinder

V43: Parece o ClientMan

Entradas no HijackThis

Essa variante consiste de dois arquivos que ajudam um ao outro.
svc.exe roda invisivelmente, faz o download do segundo, BrowserHelper.dll e o instala como um BHO. Porém, este BHO também possui o primeiro arquivo e possivelmente o coloca de volta se ele for apagado. Essa variante é sempre acompanhada de um hijack para madfinder.com.

Voltar ao Topo

A correção conhecida como CWShredder

Depois de ler tudo isso, você deve estar com a impressão de que é quase impossível de remover o hijacker CoolWebSearch devido ao número de variantes. Embora seja verdade que a maioria das ferramentas anti-spyware não conseguem remover todas as variantes, existe uma ferramenta que vai.

Se chama CWShredder e pode ser baixado clicando no link abaixo:
Download do CWShredder

A Origem

Hoje nós já temos certeza de que o CoolWebSearch faz parte de um grupo de vários novos trojans que foram recentemente identificados, onde todos possuem a mesma característica: são instalados explorando a falha do
ByteVerify^[4] no Microsoft Java Virtual Machine e que mudam a página inicial, página de busca, adicionam sites nos favoritos e etc. Dê uma olhada neste trecho retirado da descrição do trojan Java.Shinwow:

Existe um grupo crescente de trojans que exploram a falha do ByteCodeVerifier no Microsoft Virtual Machine que permite que códigos maliciosos sejam executados. As variantes desse trojan que nós vimos são um pouco diversas, mas todas elas usam essa falha para alcançar seus objetivos. Algumas das variantes podem fazer um pouco mais além de modificar a página inicial e de busca do IE.

Nós recomendamos a instalação do patch disponível no
boletim de segurança da Microsoft. Se você possui o Windows XP com o Service Pack 1a, seu sistema não possui mais o MS Java VM. Informações para remover completamente o MS Java VM para substituí-lo pelo novo e mais seguro Java da Sun podem ser encontradas aqui (inglês).

Também foi confirmado que o Index.Dat Viewer muda a página inicial para superwebsearch.com, que é um afiliado do CWS. Remover o Index.Dat Viewer
não vai restaurar a sua página inicial.

Sempre é uma boa idéia manter o sistema atualizado através do
Windows Update.

Notas da Tradução

1. CWShredder

Merijn descontinuou o CWShredder em Julho de 2004, mas ele foi adquirido pela InterMute em Setembro do mesmo e posteriormente pela Trend Micro, a mesma compania que hoje retém os direitos deste artigo. O CWShredder agora é mantido por eles. CWShredder é uma trademark da Trend Micro, Inc.

2. Caminho dos arquivos

Muitas vezes os caminhos dos arquivos são o que chamamos de “hardcoded” dentro do programa. Nesse caso, o caminho pode ser o mesmo em qualquer versão do Windows. Em outros casos, o nome do arquivo pode usar as pastas padrão do Windows para cada situação. Por exemplo:

• C:Program Files
  C:Arquivos de Programas
• C:Program FilesCommon Files
  C:Arquivos de ProgramasArquivos Comuns

Por esse motivo, os caminhos dos arquivos não foram traduzidos para o português, já que se o caminho for hardcoded dentro do hijacker, ele poderá usar o mesmo caminho do Windows em inglês.

3. LSPs do Winsock

É possível manipular através do regedit as correntes do Winsock e assim é possível remover variantes como a CWS.Msspi. O processo é tão difícil e complexo que eu considero qualquer um que tente fazer isso com o regedit realmente louco. Não estou brincando. Use o LSPFix e salve a sua própria vida.

4. Falhas exploradas pelo CWS

Hoje em dia sabe-se que além do ByteVerify são usadas várias outras falhas, como o MhtRedir e o JS.Exception. É recomendado que você faça todas as atualizações do IE já que a lista de patches completa ficaria muito longa para listar aqui. Use o Windows Update e atualize seu computador!

Informações Removidas

Os campos “Referência” e “Encontrado” foram removidos, pois mais de 2/3 dos links estavam quebrados ou já tinham sido substituídos por outros logs mais recentes, assim tirando o propósito de “exemplo”.

Agradecimentos

Obrigado ao Merijn por ter originalmente escrito tudo o que está aqui e à InterMute (antiga proprietária do CWSShredder e, portanto, deste documento) por ter permitido a tradução para o Português do Brasil do maior documento atualmente existente sobre um hijacker.

E obrigado a você que leu até aqui.