จากทุกรูปแบบของซอฟต์แวร์อันตรายที่มุ่งเป้า Mac เบราว์เซอร์ไฮแจ็คเกอร์ (browser hijacker) อาจเป็นมัลแวร์ที่รำคาญที่สุด เมื่ออุปกรณ์ของคุณติดเชื้อ ความชอบการเว็บบราวเซอร์ของคุณจะหลุดจากการควบคุม ทำให้トラฟฟิกเว็บของคุณถูกส่งต่อไปยังเว็บไซต์ที่ไม่พึงประสงค์และอันตราย แม้การโจมตีประเภทนี้จะไม่ถือว่าร้ายแรง แต่ก็ทำให้หงุดหงิด อย่างยิ่งเมื่อต้องจัดการกับโฆษณาที่ปิดไม่ได้ ดังนั้น หากเบราว์เซอร์ไฮแจ็คเกอร์เจาะเข้าไปในระบบของคุณ Mac ของคุณจะต้องทำความสะอาดอย่าง徹底
หนึ่งในเบราว์เซอร์ไฮแจ็คเกอร์ล่าสุดที่ทำให้ผู้ใช้ Mac หนักใจคือ Search Baron หรือ Searchbaron.com มัลแวร์เบราว์เซอร์ไฮแจ็คเกอร์นี้เจาะเข้าไปในคอมพิวเตอร์ Mac หลายเครื่องในไม่กี่สัปดาห์ที่ผ่านมา และก่อให้เกิดความวุ่นวายใหญ่ในอุตสาหกรรมความปลอดภัย มัลแวร์นี้แสดงตัวผ่านการควบคุมการตั้งค่าอินเทอร์เน็ตเริ่มต้นของเบราว์เซอร์ เพื่อกระจายトラฟฟิกเว็บของผู้ใช้ใหม่ เมื่อผู้ใช้ที่ได้รับผลกระทบพยายามเยี่ยมชมเว็บไซต์ เบราว์เซอร์ที่เปลี่ยนเส้นทางไป Searchbaron.com ไม่สามารถมองเห็นได้ และผู้ใช้เห็นเพียงトラฟฟิกถูกเปลี่ยนเส้นทางไป bing.com เท่านั้น
Searchbaron.com คืออะไร?
Searchbaron.com เป็นเว็บไซต์อันตรายที่อ้างว่าปรับปรุงประสบการณ์การブラウเซอร์ของผู้ใช้โดยสร้างผลลัพธ์การค้นหาที่ดีกว่า เว็บไซต์นี้มักถูกโปรโมทโดยแอปพลิเคชัน rogue ต่างๆ และโปรแกรมที่ไม่พึงประสงค์ (PUPs) ที่ติดเชื้อคอมพิวเตอร์โดยไม่รู้ตัวของเหยื่อ
Searchbaron.com มักแพร่กระจายผ่านโฆษณาป๊อปอัปหลอกลวง ติดตั้งโปรแกรม Flash Player ปลอม ดาวน์โหลดไฟล์ torrent และโปรแกรมติดตั้งซอฟต์แวร์ฟรี (bundling) แอปที่ถูกต้องหนึ่งที่ Searchbaron.com แนบตัวคือ Spaces โปรแกรมที่ให้ผู้ใช้เชื่อมต่อกับเพื่อนร่วมงานและเครือข่ายกับผู้เชี่ยวชาญ
อย่างไรก็ตาม ต่างจากเบราว์เซอร์ไฮแจ็คเกอร์ส่วนใหญ่ Searchbaron.com ไม่ปรับเปลี่ยนการตั้งค่าเบราว์เซอร์ มัลแวร์ตรวจจับเมื่อผู้ใช้พิมพ์คำค้นหา และจากนั้นเปลี่ยนเส้นทางトラฟฟิกไปยัง searchbaron.com ซึ่งต่อมาเริ่ม שרשרת การเปลี่ยนเส้นทางอีกครั้งไปยัง bing.com ผ่านบริการ Amazon AWS ในที่สุด ผู้ใช้จะค้นหาผ่าน Bing แม้จะไม่ใช่เครื่องมือค้นหาเริ่มต้น การเปลี่ยนเส้นทางแบบนี้ไม่ได้เป็นอันตรายมาก เพราะ Bing ก็เป็นเครื่องมือค้นหาที่ถูกต้อง แต่สามารถส่งผลกระทบต่อประสบการณ์การブラウเซอร์ของผู้ใช้ได้อย่างมีนัยสำคัญ
คุณยังต้องจำว่าโปรแกรมที่ไม่พึงประสงค์ (PUPs) และเครื่องมือค้นหาปลอม ถูกออกแบบมาเพื่อเก็บรวบรวมข้อมูลละเอียดอ่อนจากผู้ใช้ รวมถึงที่อยู่ IP ประวัติการブラウเซอร์ หน้าเว็บที่ดู คำค้นหา และรายละเอียดอื่นๆ ที่ดูไม่น่าสนใจ ข้อมูลที่รวบรวมจะถูกแชร์หรือขายให้บุคคลที่สามเพื่อสร้างรายได้ นี่ไม่เพียงแต่ทำให้โฆษณารบกวนมากขึ้นบน Mac ของคุณ แต่ยังอาจนำไปสู่ปัญหาความเป็นส่วนตัวหรือการขโมยข้อมูลส่วนบุคคล
นอกจากนี้ กระบวนการลบการเปลี่ยนเส้นทาง Searchbaron.com บนเบราว์เซอร์ของคุณอาจซับซ่อน เพราะมัลแวร์จะกลับมาอีกหากไม่ได้ลบองค์ประกอบทั้งหมดอย่างสมบูรณ์ คุณต้องกำจัด Searchbaron.com อย่างเต็มที่เพื่อป้องกันการติดเชื้อซ้ำ
Searchbaron.com ถูกเผยแพร่อย่างไร?
ซอฟต์แวร์จับคุมเบราว์เซอร์มักเจาะเข้าคอมพิวเตอร์โดยไม่รู้ตัวของผู้ใช้ เนื่องจากผู้เขียนหรือผู้ร้ายทางไซเบอร์เผยแพร่ผ่านโฆษณาที่รบกวน หรือวิธีการตลาดหลอกลวงที่เรียกว่า bundling โฆษณาที่รบกวนพื้นฐานเปลี่ยนเส้นทางผู้ใช้ไปยังเว็บไซต์น่าสงสัย ซึ่งบางอย่างรันสคริปต์เพื่อดาวน์โหลดหรือติดตั้งแอปที่ไม่พึงประสงค์
Bundling ในอีกด้านหนึ่ง คือการติดตั้งแอปบุคคลที่สามแบบลับพร้อมกับซอฟต์แวร์ที่ถูกต้อง ผู้พัฒนาทราบว่าผู้ใช้ส่วนใหญ่เร่งกระบวนการติดตั้ง ไม่อ่านคำแนะนำ และข้ามขั้นตอน ดังนั้น แอปที่มัดรวมมักซ่อนอยู่หลังตัวเลือก Custom/Advanced ของกระบวนการติดตั้ง
ยังมีผู้ใช้ที่ชอบดูโฆษณาเพื่อข้ามขั้นตอนการติดตั้งบางอย่าง โดยไม่รู้ว่าพวกเขากำลังติดตั้งแอป rogue อย่างไม่ได้ตั้งใจ ด้วยการทำเช่นนี้ พวกเขาเปิดโอกาสให้ระบบของพวกเขาเสี่ยงต่อมัลแวร์ต่างๆ และเสี่ยงต่อความเป็นส่วนตัวของข้อมูล
Searchbaron.com ทำงานอย่างไร?
ตอนแรก แนวคิดเบื้องหลังการโจมตีจับคุมเบราว์เซอร์นี้ไม่น่าทำความเข้าใจมาก เมื่อคิดถึง ทำไมต้องปรับเปลี่ยนการตั้งค่าเบราว์เซอร์ของ Mac ให้แตกต่าง แล้วนำพาไปที่ Bing ซึ่งเป็นเครื่องมือค้นหาที่ถูกต้อง? ตรรกะเบื้องหลังแคมเปญนี้ซับซ่อนกว่าที่จะเห็น ทุกครั้งที่การเปลี่ยนเส้นทางเกิดขึ้น มันจะทำตามเส้นทางที่ซับซ่อนซึ่งเกี่ยวข้องกับโดเมนระหว่างทาง รวมถึง searchnewworld.com ที่รู้จักว่าเป็นอันตราย หรือหน้าเว็บอื่นๆ ที่โฮสต์บนแพลตฟอร์ม AWS (Amazon Web Services) searchroute-1560352588.us-west-2.elb.amazonaws.com เป็นหนึ่งในหน้า AWS ที่ผู้ใช้ Mac หลายรายรายงาน
การใช้เครือข่ายคลาวด์ที่ถูกต้องสำหรับจอดทรัพยากรเว็บน่าสงสัย ทำให้ผู้ร้ายทางไซเบอร์หลีกเลี่ยงการบล็อคลิสต์ (blacklisting) ได้ง่ายขึ้น คุณจะสังเกตว่าเว็บไซต์เหล่านี้ไม่แสดงออกมากในเบราว์เซอร์ แต่จริงๆ แล้วถูกเยี่ยมชมเป็นส่วนหนึ่งของการเปลี่ยนเส้นทาง มัลแวร์จึงนำトラฟฟิกไปยังหน้าเว็บเฉพาะ ในขณะที่ทำให้ดูเหมือนว่ามีเว็บไซต์ที่ resolved เพียง Bing.com เท่านั้น ทริคนี้ไม่ได้เป็นอะไรใหม่ แต่เป็นวิธีที่มีประสิทธิภาพในการหยิบトラฟฟิกเพื่อการสร้างรายได้
เบราว์เซอร์ไฮแจ็คเกอร์ Search Baron น่ารำคาญมากจนผู้ใช้ไม่รู้ว่ามีลักษณะอันตรายอีกอย่างของมัลแวร์นี้ เมื่อรันบน macOS Search baron ยังติดตามกิจกรรมออนไลน์ของเหยื่อ มันเฝ้าระวังเงียบๆ ว่าเว็บไซต์ไหนถูกเยี่ยมชม และคำค้นหาใดถูกพิมพ์ นอกจากนี้ Searchbaron.com อาจมุ่งเป้าข้อมูลประจำตัวละเอียดอ่อน รวมถึงรายละเอียดการธนาคารออนไลน์ ล็อกอินอีเมล และบริการคลาวด์ ด้วยการรวบรวมรายละเอียดทั้งหมดนี้ ผู้สร้าง Search Baron สามารถสร้างโปรไฟล์สมบูรณ์ของเหยื่อที่ไม่รู้ตัว และใช้ข้อมูลนี้ดำเนินการขโมยข้อมูลส่วนบุคคลและกลโกงฟิชชิง มีโอกาสสูงที่ข้อมูลจะถูกขายให้บุคคลที่สาม เช่น นักการตลาด โฆษก หรือกลุ่มแฮกเกอร์ชื่อดังอื่นๆ
เมื่อ Search Baron เข้าสู่ Mac ของคุณ มันเพิ่มตัวเองเข้าไปใน login items เพื่อความคงทน (persistence) มันยังเปลี่ยนการตั้งค่าเบราว์เซอร์ที่ผู้ใช้ชอบ ตั้งค่าเครื่องมือค้นหาและหน้าแรกเริ่มต้นเป็น searchbaron.com หากคุณสังเกตดีๆ คุณจะเห็นว่า URL มีหางที่聞起來像 malvertising ตัวอย่างเช่น สตริงอาจเป็นอย่าง searchbaron.com/v1/hostedsearch หรือ https://www.searchbaron.com/v1/hostedsearch?pid=252428&subid965&keyword={searchTerms}
สิ่งที่รำคาญคือ คุณไม่สามารถย้อนกลับการเปลี่ยนแปลงที่ทำไปที่ Safari, Chrome หรือ Firefox ได้ ไม่ว่าคุณจะพยายามเลือกบริการที่ถูกต้องด้วยตนเองกี่ครั้ง นี่เป็นเพราะปลั๊กอินอันตรายที่มัลแวร์ติดตั้งเพื่อทำให้การเปลี่ยนแปลงเบราว์เซอร์เกิดขึ้นซ้ำๆ Search Baron ยังเพิ่มโปรไฟล์ผู้ดูแลระบบใหม่ภายใต้ System Preferences โปรไฟล์ใหม่นี้ป้องกันไม่ให้กระบวนการทำความสะอาดเสร็จสิ้น และมัลแวร์จะกลับมาอีก เพื่อลบการเปลี่ยนเส้นทาง Searchbaron.com บนเบราว์เซอร์อย่างสมบูรณ์ คุณต้องกำจัดไวรัส Search Baron 本身 พร้อมกับองค์ประกอบที่ใช้สำหรับการขยายสิทธิ์ (privilege escalation) เมื่อเหล่านี้ถูกลบแล้ว คุณจึงสามารถย้อนกลับการเปลี่ยนแปลงที่ทำไปยังเว็บเบราว์เซอร์ที่ได้รับผลกระทบ
วิธีลบ Searchbaron.com
ตามที่กล่าวมาข้างต้น Searchbaron.com ติดตั้งองค์ประกอบเข้าไปในระบบของคุณที่ทำให้ยากต่อการกำจัด เพื่อให้แน่ใจว่ามันถูกลบอย่างสมบูรณ์จาก macOS คุณต้องทำตามคู่มือลบขั้นตอนต่อขั้นตอนของเรา (แทรกคู่มือลบที่นี่)
เมื่อ Searchbaron.com ถูกลบแล้ว ให้ปฏิบัตินิสัยความปลอดภัยออนไลน์ที่ดี เพื่อป้องกันมัลแวร์นี้และพวกพ้องไม่ให้ติดเชื้อคอมพิวเตอร์ของคุณอีก ตรวจสอบให้แน่ใจว่าคุณติดตั้งโปรแกรมแอนตี้มัลแวร์ที่ดี และเก็บระบบของคุณให้ทันสมัยเพื่อลดช่องโหว่ คุณยังควรจัดตารางการบำรุงรักษา Mac เป็นประจำด้วยแอปทำความสะอาด Mac ที่น่าเชื่อถือ หวังว่าจะระวังแอปที่คุณดาวน์โหลดและลิงก์ที่คุณคลิกบนอินเทอร์เน็ต
