Searchbaron.com: Sự Thật, Đặc Điểm Và Thông Tin Bảo Mật Trên Mac

Trong tất cả dạng mã độc nhắm Mac, browser hijacker (trình chiếm dụng trình duyệt) có lẽ là một trong những malware khó chịu nhất. Một khi thiết bị bị nhiễm, tùy chọn duyệt web đột ngột trôi khỏi tầm kiểm soát — nghĩa là buộc chuyển hướng lưu lượng đến web không mong muốn và độc hại. Mặc dù kiểu tấn công này không được coi là nghiêm trọng, nhưng nó chắc chắn khiến người dùng phát điên, đặc biệt khi phải đối mặt với quảng cáo không thể đóng. Vì vậy, nếu browser hijacker lẻn vào hệ thống, Mac của bạn sẽ cần một lần dọn dẹp triệt để.

Một trong những browser hijacker gần đây khiến người dùng Mac đau đầu là Search Baron hay Searchbaron.com. Mã độc này đã xâm nhập vài máy Mac trong vài tuần qua và gây hỗn loạn lớn trong ngành an ninh. Malware thể hiện bằng cách kiểm soát cài đặt internet mặc định của trình duyệt để phân phối lại lưu lượng web. Khi người dùng bị ảnh hưởng cố truy cập web, việc trình duyệt chuyển hướng đến Searchbaron.com không hiển thị — người dùng chỉ thấy lưu lượng được chuyển hướng đến bing.com.

Searchbaron.com Là Gì?

Searchbaron.com là trang web độc hại tự xưng cải thiện trải nghiệm duyệt web bằng kết quả tìm kiếm tốt hơn. Trang web này thường được quảng bá bởi các ứng dụng giả (rogue applications) và chương trình không mong muốn (PUP) nhiễm máy mà nạn nhân không hay biết.

Searchbaron.com thường phân phối qua: quảng cáo pop-up lừa đảo, bộ cài Flash Player giả, tải file torrent, bộ cài phần mềm miễn phí (bundling). Một app hợp pháp mà Searchbaron.com gắn vào là Spaces — chương trình cho phép người dùng kết nối đồng nghiệp và mạng lưới chuyên nghiệp.

Tuy nhiên, khác với hầu hết browser hijacker, Searchbaron.com không sửa đổi cài đặt trình duyệt. Malware phát hiện khi người dùng gõ truy vấn tìm kiếm và chuyển hướng lưu lượng đến searchbaron.com, sau đó khởi động chuỗi chuyển hướng khác đến bing.com qua dịch vụ Amazon AWS. Kết thúc, người dùng tìm kiếm qua Bing dù nó không phải công cụ tìm kiếm mặc định. Chuyển hướng như này không đặc biệt hại vì Bing cũng là công cụ tìm kiếm hợp pháp. Tuy nhiên, chúng có thể tác động đáng kể trải nghiệm duyệt web.

Bạn cũng cần nhớ: PUP (chương trình không mong muốn) và công cụ tìm kiếm giả được thiết kế thu thập thông tin nhạy cảm từ người dùng: địa chỉ IP, lịch sử duyệt, trang web đã xem, truy vấn tìm kiếm, và chi tiết khác dường như không quan trọng. Thông tin thu thập được chia sẻ/bán cho bên thứ ba để sinh lợi nhuận. Điều này không chỉ khiến quảng cáo khó chịu xuất hiện nhiều hơn trên Mac, mà còn dẫn đến vấn đề bảo mật nghiêm trọng hoặc thậm chí đánh cắp danh tính.

Thêm vào đó, quy trình gỡ chuyển hướng Searchbaron.com trên trình duyệt có thể phức tạp vì malware cứ quay lại nếu không xóa hoàn toàn tất cả thành phần. Bạn cần triệt để gỡ Searchbaron.com để ngăn nhiễm lại.

Searchbaron.com Được Phân Phối Như Thế Nào?

Phần mềm chiếm dụng trình duyệt thường lẻn vào máy mà người dùng không hay biết, vì tác giả/ tội phạm phân phối chúng qua quảng cáo xâm nhập hoặc phương pháp marketing lừa đảo gọi là bundling (gói kèm). Quảng cáo xâm nhập chuyển hướng người dùng đến web đáng ngờ, nơi thậm chí chạy script tải/cài app không mong muốn.

Bundling: cài đặt lén app thứ ba cùng phần mềm hợp pháp. Nhà phát triển hiểu hầu hết người dùng vội cài đặt, không đọc hướng dẫn, bỏ qua bước. Do đó, app gói kèm thường ẩn sau tùy chọn Custom/Advanced của quy trình cài đặt.

Cũng có người dùng thích xem quảng cáo để bỏ qua bước cài đặt, không nhận ra họ đang vô tình cài app giả. Bằng cách này, họExpose hệ thống trước nguy cơ mã độc và xâm phạm quyền riêng tư dữ liệu.

Searchbaron.com Hoạt Động Như Thế Nào?

Ban đầu, ý tưởng tấn công chiếm dụng trình duyệt này không có nhiều ý nghĩa. Khi nghĩ: tại sao lại改造 cài đặt trình duyệt Mac, rồi đưa chúng đến Bing — công cụ tìm kiếm chính thống? Logic đằng sau chiến dịch này tinh vi hơn vẻ bề ngoài.

Khi nào chuyển hướng xảy ra, nó theo đường dẫn phức tạp liên quan domain trung gian, bao gồm searchnewworld.com (biết là độc hại) hoặc các trang web hosted tại nền tảng AWS (Amazon Web Services). searchroute-1560352588.us-west-2.elb.amazonaws.com là một trong những trang AWS được báo cáo bởi nhiều user Mac.

Việc dùng mạng đám mây hợp pháp để "đỗ" tài nguyên web đáng ngờ giúp tội phạm tránh blacklist. Bạn sẽ nhận ra các trang này không hiển thị rõ trên trình duyệt, nhưng thực tế được truy cập như một phần của quá trình chuyển hướng. Malware do đó kéo lưu lượng đến trang web cụ thể đồng thời làm cho nó trông như thể trang web được giải quyết duy nhất là Bing.com. Chiêu bài này không mới, nhưng hiệu quả để chặn lưu lượng nhằm mục đích kiếm tiền.

Search Baron browser hijacker quá "ghiền" đến mức user không nhận ra quái đản độc hại khác của nó. Khi chạy trên macOS, Search Baron bổ sung theo dõi hoạt động online của nạn nhân. Nó thầm lặng ghi lại web nào được truy cập và truy vấn tìm kiếm gì được gõ. Ngoài ra, Searchbaron.com có thể nhắm vào thông tin đăng nhập nhạy cảm: chi tiết ngân hàng trực tuyến, đăng nhập email, dịch vụ đám mây. Bằng cách thu thập tất cả chi tiết này, tác giả sau Search Baron có thể hình thành hồ sơ hoàn chỉnh nạn nhân bất ngờ và dùng thông tin này thực hiện đánh cắp danh tính và mưu đồ lừa đảo (phishing). Cũng có khả năng cao dữ liệu sẽ bị bán cho bên thứ ba: marketer, nhà quảng cáo, hoặc nhóm hacker cao cấp khác.

Khi Search Baron vào Mac, nó thêm mình vào login items (mục đăng nhập) để duy trì sự hiện diện (persistence). Nó cũng thay đổi cài đặt trình duyệt ưa thích của người dùng, đặt công cụ tìm kiếm và trang chủ mặc định thành searchbaron.com. Nếu bạn đủ tinh ý, bạn sẽ nhận ra URL có đuôi "thấm" mùi malvertising. Ví dụ chuỗi có thể như searchbaron.com/v1/hostedsearch hoặc https://www.searchbaron.com/v1/hostedsearch?pid=252428&subid965&keyword={searchTerms}.

Điều khó chịu: bạn không thể revert (hoàn tác) thay đổi trên Safari, Chrome, Firefox, dù thử bao nhiêu lần chọn dịch vụ đúng thủ công. Nguyên nhân: plugin độc hại do malware cài đặt buộc những thay đổi trình duyệt lặp lại lại và lại. Search Baron cũng thêm hồ sơ quản trị mới dưới System Preferences. Hồ sơ mới này ngăn quá trình dọn dẹp hoàn tất và malware cứ quay lại. Để triệt để gỡ chuyển hướng Searchbaron.com trên trình duyệt, bạn cần gỡ virus Search Baron chính, cùng các thành phần dùng cho leo thang đặc quyền (privilege escalation). Sau khi những thứ này bị xóa, bạn mới có thể revert thay đổi trên trình duyệt bị ảnh hưởng.