Recently, we discovered that a rela

Recently, we discovered that a relatively popular “anti-malware” product known as “Yet Another Cleaner” or YAC for short, has been claiming to be an affiliate of Malwarebytes in addition to using a lot of our detection names as their own. We looked deeper into their operation and found some pretty amazing and ugly things.

The Good
“Yet Another Cleaner” is owned by Elex do Brasil Participações Ltda Technology Inc. They are located in Brazil and have a wide array of products including a speed test, alarm clock, IP lookup and of course, YAC.

YAC itself is a fairly sleek-looking program and very quick as well. It seems to have the ability to protect users from malicious web sites, cleanup junk files on their system, uninstall applications and even to block advertisements!

The Bad
The reality is while they might claim YAC can do all the things mentioned above, how the product actually performs is an open question. Anyway, we got a tip-off as to Elex do Brasil Participações Ltda Technology Inc. being an affiliate company to Malwarebytes, since they suggest an affiliation in their terms of use policy.

TermsOfUse

To be clear, Malwarebytes is in no way affiliated with Elex. Do you think Kaspersky, BitDefender, Avast, PCTools, iS3, Enigma Software, SUPERAntiSpyware and SurfRight are also affiliates?

So, after discovering that little bit of interesting information, we decided to look into the Anti-Malware software they were pushing.

The Ugly
We looked into YAC and noticed first off the similarities between their user interface and our own, and possibly even other security vendor tools.


Of course, this isn’t necessarily a bad thing, sometimes developers get inspired by other products, though it did prompt us to look deeper. We decided to check their detection names.

At this point we began to see more similarities, a bit more than normal. We scanned the same grouping of files between Malwarebytes Anti-Malware (MBAM) and YAC to see which popped and what names were used.


Off the bat, we knew that since YAC only detected a portion of the files that MBAM did that there were some significant differences. We decided to look at individual detections instead.

Agent

So the first one we spotted was the use of “Agent” as in “Trojan.Agent.” This isn’t a big deal because it’s a very common name to use in place of the actual malware name, for when you know the file is malicious but not sure the exact family it belongs to at that time.

ClickBot

Next is “ClickBot” another name that isn’t used by everyone but it’s used by enough vendors to make it stand out a little more in our book.

FakeMS

Finally, “FakeMS” was spotted and we got really suspicious. The term doesn’t belong to Malwarebytes but rarely does any other product use that designation other than Malwarebytes. Obviously, this isn’t any kind of conclusive proof as to theft going on but we had some ideas on how to look deeper.

The first check was through a hidden detection method that we use to find applications who steal our definition database and use it as their own. We created a special registry key that is not affiliated with any process, malicious or otherwise and when it flags, we know our property has been stolen. The key is:

HKLMSoftwareANV7845SFT
NOTE: We have many other ways to identify our database in use by another product so rest assured we didn’t just give away our only way to do this.

We set up the trap key and ran a scan and found the special registry key.

TrapKey

To give these guys the benefit of the doubt, we will look deeper by creating a completely new fake malware detection. We built a custom program that does nothing more than show a message box. It looks like this:

Messagebox2

We then made a detection for this fake file, we named it something unique and even misspelled the words: “Spywera” & “Theiving.” You can check out the file for yourself, we uploaded it to VirusTotal.

MBAMCatch

We pushed out this new detection as of 4 p.m. on March 1, 2015. About two hours later, YAC had an update available.

Yac_db_version

Using their latest definition database update, we ran a scan against our fake message box malware to discover that not only do they detect our fake malware but also use the same, unprofessional and misspelled detection name.

Yac_Theivingbasterds_detection

Alright, so it looks like Yet Another Cleaner is straight up stealing our detection database and modifying it for their own means. Based on the fact that they only detected a very small portion of the tons of malware we had both YAC and MBAM scan, their scanner apparently uses a slimmed down version of the one utilized by Malwarebytes Anti-Malware. We also know this because we actually analyzed a memory snapshot of their software in action. Tsk Tsk.

The reason this is such a big deal is because along with our engine, our interface, our brand name and our individual efforts, our definition database was created in-house and we already offer it for free to the w

Kết quả (Việt) 1:

Gần đây, chúng tôi phát hiện ra rằng một sản phẩm tương đối phổ biến "anti-malware" được gọi là "Được một sạch hơn" hoặc YAC cho ngắn, đã tuyên bố là một chi nhánh của Malwarebytes ngoài việc sử dụng rất nhiều tên phát hiện của chúng tôi như là của riêng họ. Chúng ta nhìn sâu hơn vào hoạt động của họ và tìm thấy một số điều khá tuyệt vời và xấu xí.Tốt"Yet Another Cleaner" được sở hữu bởi Elex do Brasil Participações Ltda Technology Inc. Họ được đặt tại Brazil và có một mảng rộng các sản phẩm bao gồm một bài kiểm tra tốc độ, đồng hồ báo thức, tra cứu IP và tất nhiên, YAC.YAC chính nó là một chương trình khá trơn, tìm kiếm và rất nhanh chóng như là tốt. Có vẻ như có khả năng để bảo vệ người dùng khỏi các trang web độc hại, dọn dẹp các tập tin rác trên hệ thống của họ, gỡ bỏ cài đặt ứng dụng và thậm chí để chặn quảng cáo!XấuThực tế là trong khi họ có thể yêu cầu bồi thường YAC có thể làm tất cả những điều đã đề cập ở trên, làm thế nào các sản phẩm thực sự thực hiện là một câu hỏi mở. Dù sao, chúng tôi đã nhận một tip-off như ty Yoshikawa Elex do Brasil Participações Ltda Technology Inc. là một công ty liên kết để Malwarebytes, kể từ khi họ cho thấy một liên kết trong các điều khoản sử dụng chính sách.TermsOfUseĐể được rõ ràng, Malwarebytes trong không có cách nào liên kết với ty Yoshikawa Elex. Bạn có nghĩ rằng Kaspersky, BitDefender, Avast, PCTools, iS3, Enigma Software, SUPERAntiSpyware và SurfRight cũng chi nhánh?Vì vậy, sau khi phát hiện ra rằng ít thông tin thú vị, chúng tôi quyết định xem xét các phần mềm Anti-Malware, họ đã đẩy mạnh.Xấu xíChúng tôi nhìn vào YAC và nhận thấy đầu tiên ra những điểm tương đồng giữa các giao diện người dùng của họ và chúng tôi sở hữu, và thậm chí có thể công cụ nhà cung cấp bảo mật khác. Tất nhiên, điều này không nhất thiết phải là một điều xấu, đôi khi các nhà phát triển có được lấy cảm hứng từ các sản phẩm khác, mặc dù nó đã nhắc nhở chúng ta nhìn sâu hơn. Chúng tôi quyết định để kiểm tra phát hiện tên của họ.Tại thời điểm này, chúng tôi bắt đầu thấy nhiều điểm tương đồng nhất, hơn một chút so với bình thường. Chúng tôi quét các nhóm tương tự của các tập tin giữa Malwarebytes Anti-Malware (MBAM) và YAC để xem mà popped và tên gì được sử dụng. Ra khỏi bat, chúng ta biết rằng kể từ khi YAC chỉ phát hiện một phần của các tập tin đó MBAM đã làm rằng đã có một số khác biệt quan trọng. Chúng tôi quyết định xem xét cá nhân phát hiện để thay thế.Đại lýVì vậy việc đầu tiên chúng tôi phát hiện là việc sử dụng các "Đại lý" như "Trojan.Agent." Đây không phải là một vấn đề lớn vì nó là một tên rất phổ biến để sử dụng thay cho tên phần mềm độc hại thực tế, khi bạn biết các tập tin độc hại nhưng không chắc chắn chính xác gia đình nó thuộc về thời kỳ đó.ClickBotTiếp theo là "ClickBot", tên khác mà không được sử dụng bởi tất cả mọi người, nhưng nó được sử dụng bởi nhà cung cấp đủ để làm cho nó đứng ra nhiều hơn một chút trong cuốn sách của chúng tôi.FakeMSCuối cùng, "FakeMS" đã được phát hiện và chúng tôi đã thực sự nghi ngờ. Thuật ngữ không thuộc về Malwarebytes nhưng hiếm khi bất kỳ sản phẩm nào khác sử dụng không có tên gọi khác ngoài Malwarebytes. Rõ ràng, đây không phải là bất kỳ hình thức nào của các bằng chứng kết luận về hành vi trộm cắp xảy ra nhưng chúng tôi đã có một số ý tưởng về làm thế nào để nhìn sâu hơn.Kiểm tra đầu tiên đã thông qua một phương pháp phát hiện ẩn mà chúng tôi sử dụng để tìm các ứng dụng người ăn cắp chúng tôi định nghĩa cơ sở dữ liệu và sử dụng nó như là của riêng họ. Chúng tôi tạo ra một khóa registry đặc biệt mà không được liên kết với bất kỳ quá trình, độc hại hoặc bằng cách khác và khi nó lá cờ, chúng tôi biết chúng tôi bất động sản đã bị đánh cắp. Điều quan trọng là:HKLMSoftwareANV7845SFTLưu ý: Chúng tôi có nhiều cách khác để xác định cơ sở dữ liệu của chúng tôi sử dụng bằng một sản phẩm khác nên yên tâm chúng tôi đã không chỉ cho đi của chúng tôi cách duy nhất để làm điều này.Chúng tôi thiết lập phím bẫy và chạy một quét và tìm thấy chìa khóa đặc biệt đăng ký.TrapKeyĐể cho những kẻ lợi ích của sự nghi ngờ, chúng tôi sẽ xem xét sâu hơn bằng cách tạo ra một phát hiện phần mềm độc hại giả mạo hoàn toàn mới. Chúng tôi xây dựng một chương trình tùy chỉnh mà không có gì hơn Hiển thị một hộp thư. Nó trông như thế này:Messagebox2Sau đó chúng tôi thực hiện một phát hiện cho các tập tin giả mạo này, chúng tôi đặt tên nó là một cái gì đó độc đáo và thậm chí sai chính tả các từ: "Spywera" & "Theiving." Bạn có thể kiểm tra các tập tin cho chính mình, chúng tôi tải lên VirusTotal.MBAMCatchChúng tôi đã đẩy ra này phát hiện mới theo 4 giờ chiều ngày 1 tháng 3 năm 2015. Khoảng hai giờ sau đó, các YAC có một bản Cập Nhật có sẵn.Yac_db_versionChúng tôi sử dụng cơ sở dữ liệu mới nhất Cập Nhật định nghĩa của họ, chạy một quét chống lại malware hộp thư giả mạo của chúng tôi để khám phá ra rằng không chỉ họ phát hiện phần mềm độc hại giả của chúng tôi, nhưng cũng sử dụng tên sai chính tả, không chuyên nghiệp và tương tự phát hiện.Yac_Theivingbasterds_detectionĐược rồi, như vậy dường như chưa một sạch hơn là thẳng lên ăn cắp chúng tôi phát hiện cơ sở dữ liệu và sửa đổi nó cho các phương tiện của mình. Dựa trên thực tế là họ chỉ phát hiện một phần rất nhỏ của tấn của phần mềm độc hại, chúng tôi đã có cả YAC và MBAM quét, máy quét của họ dường như sử dụng một slimmed xuống phiên bản của người sử dụng bởi Malwarebytes Anti-Malware. Chúng tôi cũng biết điều này bởi vì chúng tôi thực sự phân tích một ảnh chụp nhanh bộ nhớ phần mềm của họ trong hành động. Tsk Tsk.Do đây là một việc lớn như vậy là vì cùng với động cơ của chúng tôi, giao diện của chúng tôi, tên thương hiệu của chúng tôi và những nỗ lực cá nhân của chúng tôi, chúng tôi định nghĩa cơ sở dữ liệu được tạo ra trong nhà và chúng tôi đã cung cấp nó miễn phí để w