Hầu hết người dùng thường bỏ qua khi thấy nhiều quảng cáo trên trang web họ truy cập. Họ nghĩ quảng cáo chỉ là một phần của chiến lược tạo thu nhập của các trang — có thể đúng. Hầu hết trang web chấp nhận banner ads, text ads, thậm chí video quảng cáo để kiếm doanh thu.
Tuy nhiên, nếu bạn thấy cùng quảng cáo ở mọi nơi bạn đi, chắc chắn có chuyện hơn chiến lược kiếm tiền đơn giản. Theo nghĩa nào đó, nó vẫn kiếm tiền, nhưng hệ thống đằng sau nó hiểm ác hơn bạn nghĩ. Ví dụ, nếu bạn thấy cùng quảng cáo MacBook Pro mới nhất trên tất cả trang web bạn truy cập, bất kể trang web về chủ đề gì, thiết bị của bạn có thể đã bị nhiễm adware.
Có nhiều loại adware khác nhau và chúng hoạt động tương tự, trừ một vài sắc thái nhỏ. Cơ bản, một script độc hại được cài trên thiết bị, hoặc bằng cách truy cập trang web bị nhiễm hoặc cài qua gói (bundling). Khi chương trình không mong muốn tiềm ẩn (PUP) được cài, nó sẽ gửi quảng cáo xâm nhập mỗi khi bạn lướt net. Hầu hết loại adware này cài tiện ích mở rộng trình duyệt để phục vụ mục đích này.
Một adware phổ biến hoạt động cách này là OffersWizard. Dựa trên tên adware, nó cung cấp các giảm giá, deal, sale, và khuyến mãi khác để cải thiện trải nghiệm mua sắm trực tuyến. Tuy nhiên, thực tế nó hiển thị sản phẩm và dịch vụ của trang web hoặc công ty trả tiền cho quảng cáo.
OffersWizard là chương trình adware tối giác ngụy trang phần mềm hữu ích giúp người mua online. Nếu bạn nghĩ máy tính hoặc thiết bị bị nhiễm adware này, hướng dẫn này giúp bạn hiểu rõ hơn cách malware này hoạt động và cách gỡ bỏ hoàn toàn khỏi thiết bị.
OffersWizard Là Gì?
Như đã nói, OffersWizard là loại malware tạo doanh thu qua quảng cáo. Về mặt kỹ thuật, nó không phải virus. Tuy nhiên, nó thể hiện nhiều đặc điểm độc hại, bao gồm khả năng hook sâu vào hệ điều hành như rootkit, cướp trình duyệt (browser hijacking), và hành động chung can thiệp trải nghiệm người dùng. Ngành công nghiệp thường phân loại nó là PUP (potentially unwanted program - chương trình có thể không mong muốn).
Tiện ích mở rộng trình duyệt OffersWizard tuyên bố giúp người dùng tiết kiệm thời gian và tiền khi mua online. Mặc dù chức năng này nghe có vẻ hợp pháp, plug-in này thực sự không thêm giá trị thực và chỉ gửi quảng cáo bên thứ ba xâm nhập. Cách dễ nhất phân biệt quảng cáo do malware này gửi là khi thấy nhãn 'Ads by OffersWizard'. Các quảng cáo này có dạng liên kết tài trợ, deal, coupon, so sánh mua sắm, banner, gợi ý nội dung, pop-up, và pop-under. Nhấp vào quảng cáo do OffersWizard hiển thị có thể dẫn đến nhiễm malware rủi ro cao hơn.
Dưới đây là các bí danh (aliases) đã biết của malware OffersWizard:
- Generic PUA JF
- Win32:Amonetize-CW [PUP]
- Trojan.Win32.Downloader.av
- Win32.Trojan-downloader.Agent.Lnos, Mal/Generic-L
- PE:Trojan.Win32.Generic.174FC083!391102595
- Trojan.Win32.Agent.ddzaav
- Trojan-Downloader.Win32.Agent.aadeh
- Win32:Downloader-VLT [Trj]
- TROJ_GEN.R092C0EHO14
- PUA.Gen
- Downloader.Agent.Win32.215042
- PUP-Amonetize!38FA2BAF42C2
- Malware/Win32.Generic
- Generic PUA NB
- Trojan.Gen.2
- TROJ_GEN.R002C0OEP18
OffersWizard Được Phân Phối Như Thế Nào?
OffersWizard là tiện ích bổ sung trình duyệt hỗ trợ quảng cáo cài trên Safari, Internet Explorer, Firefox, và Chrome. Thư mục cài đặt thường nằm trong thư mục con dưới thư mục hồ sơ người dùng, như C:\Users\USERNAME\AppData\Local\{68AAE05C-38D2-452C-9A93-81832E37A5DE}\.
Một chiến lược phân phối của OffersWizard là qua gói phần mềm (software bundling). Thường được bao gồm khi bạn cài phần mềm miễn phí khác, như trình dọn dẹp hệ thống, converter, client ghi hình hoặc phát video, trình quản lý tải xuống, tạo PDF, và khác.
Khi bạn cài bất kỳ freeware nào này, OffersWizard bị lén cài theo. Điều này xảy ra khi bạn không đọc từng bước cài đặt hoặc chọn cài đặt nhanh (quick install) và để bộ cài làm việc. Một số ứng dụng biết đến bao gồm OffersWizard là Superfish, 1ClickDownload, Yontoo và FBPhotoZoom. Hầu hết người dùng không biết chương trình độc hại được gói kèm freeware nên họ ngạc nhiên tìm ra malware từ đâu.
Ngoài gói, adware cũng có thể cài khi bạn nhấp quảng cáo hoặc pop-up OffersWizard. Đôi khi bạn không cần nhấp gì, chỉ cần truy cập trang web bị nhiễm, gọi là malvertising (quảng cáo độc hại). Chỉ truy cập URL có thể kích hoạt tải adware vào thiết bị.
Bất kể OffersWizard vào máy như thế nào, quan trọng là gỡ ngay để ngăn nó gây hại thêm cho thiết bị và thông tin cá nhân.
OffersWizard Làm Gì?
OffersWizard được lập trình để kéo lưu lượng và tạo doanh thu cho đối tác của adware, qua các chiến lược:
OffersWizard hiển thị quảng cáo trên máy tính. OffersWizard gửi pop-up ads, sliding ads, banner, video ads, và liên kết marketing trong văn bản (in-text). Plug-in trình duyệt OffersWizard sẽ highlight từ hoặc cụm từ trên trang web bạn truy cập, biến chúng thành siêu liên kết. Các liên kết này được chèn trong văn bản, thường có gạch dưới kép để phân biệt với liên kết thường. Khi con trỏ chuột lướt qua liên kết, quảng cáo sẽ bật lên. Và nếu nhấp vào liên kết, nhà phát triển OffersWizard kiếm doanh thu affiliate.
OffersWizard cũng dùng chuyển hướng trình duyệt (web browser redirects) kéo thêm lưu lượng đến trang khách hàng. Chiến lược này, phổ biến gọi là browser hijacking (cướp trình duyệt), nghĩa là chiếm đoạt trình duyệt bị ảnh hưởng và chuyển hướng tất cả lưu lượng đến trang web cụ thể lặp lại. Hầu hết thời gian, adware OffersWizard chuyển hướng người dùng đến trang chứa nhiều quảng cáo và nội dung tài trợ. Điều này cho phép nhà quảng cáo và marketing kiếm doanh thu từ affiliate marketing.
OffersWizard cũng kiếm tiền qua nghiên cứu thị trường. Adware thu thập thông tin lịch sử duyệt web, thói quen trực tuyến, cài đặt trình duyệt, và hành vi mua sắm. Thông tin thu thập có thể gửi đến máy chủ ảo của nhà phát triển adware hoặc bán cho bên thứ ba dùng cho hành vi có hại.
OffersWizard hoạt động tương tự các adware khác ảnh hưởng trình duyệt, bao gồm ShopBrain, Alphashoppers, SaveBox, Srchus.xyz Redirect, và PriceGong. Các plug-in trình duyệt tuyên bố cải thiện trải nghiệm mua sắm online bằng cách cung cấp deal và coupon tại một nơi. Tuy nhiên, chúng thực sự cản trở hiệu suất trình duyệt và tải quảng cáo xâm nhập khó gỡ.
Hướng Dẫn Gỡ Bỏ OffersWizard
Xóa adware OffersWizard khỏi máy tính đồng nghĩa xóa tất cả thành phần liên quan đến adware. Nếu bạn không kỹ trong quy trình gỡ và để lại thành phần hoặc tệp nhiễm, nó sẽ tái tạo và nhiễm máy tính lại lần lại.
Để chắc chắn gỡ sạch mọi thứ liên quan OffersWizard, hãy làm theo hướng dẫn gỡ hoàn chỉnh dưới:
Bước 1: Dừng Tất Cả Tiến Trình OffersWizard.
Để xóa thành phần OffersWizard, bạn phải trước hết kill tất cả tiến trình chạy, nếu không sẽ gặp lỗi. Để kill tiến trình OffersWizard, làm sau:
- Chuột phải vào khoảng trống trên Taskbar (Thanh tác vụ), chọn Task Manager (Trình quản lý tác vụ). Hoặc nhấn CTRL + ALT + DELETE, chọn Task Manager từ menu hiện ra.
- Dưới tab Processes (Tiến trình), tìm tất cả mục liên quan đến adware OffersWizard. Bạn có thể tham khảo bí danh đã liệt kê và xem bất kỳ tiến trình nào trùng tên.
- Chọn tiến trình đáng ngờ và highlight (chọn).
- Nhấp End Task (Kết thúc tác vụ) dưới cửa sổ.
- Lặp lại cho tất cả tiến trình đáng ngờ.
Nếu gặp khó khăn kill tiến trình, bạn có thể cần khởi động vào Safe Mode trước. Khi đã ở Safe Mode, bạn có thể an toàn dừng tiến trình và tiếp bước tiếp theo.
Bước 2: Gỡ Cài Đặt OffersWizard.
Nếu adware đi kèm PUP, bạn cần gỡ khỏi máy tính bằng các bước:
- Nhấp nút Start, chọn Settings (Cài đặt).
- Nhấp Apps > Apps & features.
- Cuộn xuống ứng dụng OffersWizard từ danh sách.
- Nhấp vào nó, chọn Uninstall (Gỡ cài đặt).
- Nhấp nút Uninstall lần nữa xác nhận.
- Khởi động lại máy khi được yêu cầu.
Bước 3: Xóa Tất Cả Tệp Tin Do OffersWizard Tạo Ra.
OffersWizard tạo nhiều tệp tin và mục registry trên hệ thống, khiến gỡ hoàn toàn khó khăn. Đảm bảo bạn không bỏ sót tệp nào để tránh rắc rối sau.
Dưới đây là một số tệp bạn nên tìm:
- \??\C:\Windows\system32\drivers\nethfdrv.sys
- %PROGRAMFILES%\ver2OffersWizard\190.dll
- %PROGRAMFILES(x86)%\ver2OffersWizard\190_x64.dll
- %WINDIR%\SysWOW64\nethtsrv.exe
- %WINDIR%\SysWOW64\netupdsrv.exe
- %LOCALAPPDATA%\{1D02742B-675A-4330-9AD6-6817F9783FD0}\OffersWizard.exe
- %PROGRAMFILES%\ver2OffersWizard\B9eG190.exe
- %PROGRAMFILES%\ver2OffersWizard\e6OffersWizard66.exe
- %PROGRAMFILES%\ver2OffersWizard\L2h.exe
- %WINDIR%\SysWOW64\netupdsrv.exe
- %WINDIR%\SysWOW64\nethtsrv.exe
- %WINDIR%\SysWOW64\netupdsrv.exe
- %WINDIR%\system32\netupdsrv.exe
- %WINDIR%\SysWOW64\netupdsrv.exe
- %WINDIR%\system32\netupdsrv.exe
- %WINDIR%\system32\netupdsrv.exe
- %WINDIR%\system32\netupdsrv.exe
- %WINDIR%\system32\nethtsrv.exe
Bạn cũng cần vào Registry xóa các mục sau:
- SOFTWARE\Microsoft\Windows\CurrentVersion\Run\OffersWizard update
- Software\OffersWizard
- SYSTEM\ControlSet001\Enum\Root\LEGACY_NETHFDRV
- SYSTEM\ControlSet001\services\nethfdrv
- SYSTEM\ControlSet001\services\NetHttpService
- SYSTEM\ControlSet002\Enum\Root\LEGACY_NETHFDRV
- SYSTEM\ControlSet002\services\nethfdrv
- SYSTEM\ControlSet002\services\NetHttpService
- SYSTEM\CurrentControlSet\Enum\Root\LEGACY_NETHFDRV
- SYSTEM\CurrentControlSet\services\nethfdrv
- SYSTEM\CurrentControlSet\services\NetHttpService
Khi đã xóa hết, hãy dọn rác Thùng rác (Recycle Bin).
Bước 4: Quét Tìm Tệp Tin Còn Lại.
Kiểm tra xem còn mối đe dọa hoặc tệp nhiễm nào trên máy bằng cách quét hệ thống dùng chương trình chống phần mềm độc hại đáng tin cậy. Đừng làm quét nhanh (quick scan). Hãy quét sâu (deep scan) để chắc chắn tất cả thư mục được quét sạch. Cũng tốt nếu lên lịch quét định kỳ để dễ dàng bắt ứng dụng độc hại khi chúng nhiễm máy.
Bước 5: Gỡ Tiện Ích Mở Rộng OffersWizard.
Bước tiếp theo là gỡ tiện ích mở rộng OffersWizard malware thêm vào trình duyệt.
Nếu dùng Chrome, nhấp nút menu góc trên bên phải cửa sổ, nhấp More tools > Extensions. Hoặc gõ chrome://extensions vào thanh địa chỉ. Từ đó, chọn tiện ích mở rộng muốn xóa, nhấp biểu tượng thùng rác.
Với Mozilla Firefox, nhấp nút menu góc trên bên phải màn hình, nhấp Add-ons. Chuột phải vào tiện ích mở rộng đáng ngờ gỡ nó khỏi trình duyệt.
Nếu dùng Internet Explorer, nhấp menu bánh răng góc trên bên phải cửa sổ, chọn Manage add-ons > Toolbars and Extensions (Quản lý add-on > Thanh công cụ và Tiện ích mở rộng). Gỡ plug-in OffersWizard đáng ngờ từ đó.
Bước 6: Đặt Lại Trình Duyệt.
Để hoàn toàn hoàn tác mọi thay đổi do adware gây ra trên trình duyệt, bạn cần đặt lại (reset) hoặc khôi phục để chuyển về trang chủ mặc định, công cụ tìm kiếm, và trang tab mới.
Tóm Tắt
Adware OffersWizard không được coi là malware rủi ro cao vì nó không trực tiếp yêu cầu tiền, dùng tài nguyên, hoặc hỏng phần cứng bằng tiến trình nền. Nguy hiểm duy nhất adware này gây ra là khi chuyển hướng lưu lượng người dùng đến trang web rủi ro tiềm ẩn. Dù mức rủi ro không cao, không có nghĩa bạn để nó chạy tràn lan. Tất cả phần mềm độc hại, bất kể mức độ nguy hiểm, nên gỡ khỏi máy tính sớm nhất khi phát hiện.
Tuy nhiên, gỡ adware như OffersWizard có thể khá rắc rối. Bạn cần kỹ trong quy trình gỡ để ngăn malware quay lại.