Browser hijacking este o formă de software nedorit care modifică, fără consimțământul utilizatorului, setările unui browser web, de obicei pentru a afișa publicitate nedorită sau pentru a redirecționa traficul către anumite site-uri. Un browser hijacker poate înlocui pagina de pornire, pagina de eroare sau motorul de căutare implicit cu propriul motor de căutare. În general, aceste programe sunt utilizate pentru a forța accesarea unor site-uri web specifice, crescând astfel veniturile din publicitate.
Unii deturnători de browser conțin și spyware; de exemplu, pot instala un keylogger pentru a colecta informații precum date bancare sau credențiale de autentificare. De asemenea, unii hijackeri pot modifica sau deteriora registrul sistemelor Microsoft Windows, uneori în mod permanent.
În timp ce unele cazuri de deturnare a browserului pot fi remediate relativ ușor, altele pot fi dificil de eliminat. Există diverse programe software concepute pentru a preveni sau bloca astfel de modificări.
Multe programe de deturnare a browserului sunt incluse în pachete software instalate fără a fi alese explicit de utilizator, fiind prezentate drept „oferte” opționale în programul de instalare al altor aplicații. Adesea, acestea nu oferă instrucțiuni clare de dezinstalare sau documentație privind funcționarea lor și sunt prezentate într-un mod înșelător, menit să inducă în eroare utilizatorii și să îi determine să instaleze software suplimentar nedorit.
Există mai multe metode prin care hijackerii pot ajunge într-un sistem de operare. și fișierele descărcate de pe site-uri suspecte sau prin torrente reprezintă tactici comune de distribuție.
Securitate
Software de securitate dăunător Unele deturnează, la rândul lor, pagina de pornire, afișând mesaje alarmiste de tipul „AVERTISMENT! Computerul dumneavoastră este infectat cu spyware!”, pentru a redirecționa utilizatorul către pagini care promovează software antispyware. Pagina de pornire revine, de obicei, la setările normale doar după achiziționarea programului respectiv. Programe precum sunt cunoscute pentru că deturnează pagina de start a utilizatorului și o redirecționează către alte site-uri web.
Pagini de domeniu inexistente Sistemul Numelor de Domenii (DNS) este interogat atunci când un utilizator introduce numele unui site web (de exemplu, wikipedia.org), iar acesta returnează adresa IP corespunzătoare, dacă domeniul există. În cazul introducerii greșite a unui nume de domeniu, DNS-ul returnează un răspuns de tip NXDOMAIN (Non-Existent Domain).
În 2006, a început să redirecționeze domeniile introduse greșit către o pagină de căutare, prin reinterpretarea răspunsului NXDOMAIN la nivel de server. Anunțul a generat reacții negative, iar compania a oferit ulterior servicii fără această funcție.
Operațiune De multe ori, programele nedorite nu indică faptul că au fost instalate și nu oferă opțiuni clare de dezinstalare.
Majoritatea deturnătorilor modifică în mod persistent setările browserelor, ceea ce înseamnă că preferințele utilizatorului sunt suprascrise în mod repetat. Unele programe antivirus clasifică hijackerii drept programe malițioase și îi pot elimina. De asemenea, anumite instrumente anti-spyware includ funcții de restaurare a browserului, care readuc setările la valorile implicite sau avertizează utilizatorul atunci când acestea sunt modificate.
Evitare Începând cu Microsoft Windows 10, browserele web nu mai pot fi setate ca aplicații implicite fără o intervenție explicită a utilizatorului; schimbarea browserului implicit trebuie realizată manual din pagina „Aplicații implicite” din Setări, măsură introdusă, printre altele, pentru a reduce riscul deturnării browserului.
Exemple de deturnători Numeroși hijackeri modifică pagina de pornire a browserului, afișează reclame și/sau schimbă motorul de căutare implicit; printre aceștia se numără Astromenda (www.astromenda.com); Ask Toolbar (ask.com); ESurf (esurf.biz); Binkiland (binkiland.com); Delta și Claro; Dregol; Jamenizez; Mindspark; Groovorio; Sweet Page; Mazy Search; Search Protect by Conduit împreună cu search.conduit.com și variantele; Tuvaro; Spigot; ro.4yendex.com; Yahoo; etc.
Bara de instrumente Babylon Babylon Toolbar este un browser hijacker care modifică pagina de pornire a browserului și setează motorul de căutare implicit la isearch.babylon.com. Este, de asemenea, o formă de adware, afișând reclame, linkuri sponsorizate și rezultate de căutare plătite. Programul colectează termenii de căutare introduși de utilizator.
Software-ul de traducere Babylon poate solicita instalarea barei de instrumente Babylon în timpul procesului de instalare. Aceasta este, de asemenea, inclusă ca extensie în alte programe descărcate.Getting rid of Babylon Jay Lee, The Houston Chronicle, July 25, 2012
În 2011, site-ul CNet Download.com a început să includă bara de instrumente Babylon în pachete software open-source, precum Nmap. Gordon Lyon a criticat modul în care utilizatorii software-ului său au fost induși în eroare să instaleze această bară de instrumente. Vicepreședintele Download.com, Sean Murphy, și-a cerut ulterior scuze public pentru includerea acestui software.A note from Sean regarding the Download.com Installer Download.com December 7, 2011
Există variante similare ale barei de instrumente Babylon și ale paginii de pornire asociate, inclusiv Bueno Search, Delta Search, Claro Search și Search GOL, care declară în termenii de utilizare că sunt deținute de Babylon.
Toate aceste bare de instrumente au fost dezvoltate de Montiera.
Conduit (Search Protect) este un PUP (Program potențial nedorit) și hijacker. Acesta colectează informații personale și le poate transmite către terți. Bara de instrumente a fost clasificată drept program potențial nedorit de către Malwarebytes și este frecvent inclusă în pachete de descărcare gratuite. Aceste bare de instrumente modifică motorul de căutare implicit, pagina de pornire, pagina de filă nouă și alte setări ale browserului.
Există numeroase variante ale Conduit Search, precum trovi.com, trovigo.com, better-search.net, seekforsearch.com, searchitdown.com, need4search.com, clearsearches.com, search-armor.com, searchthatup.com și premiumsearchweb.com, multe dintre acestea fiind generate prin serviciul de creare de bare de instrumente oferit anterior de Conduit Ltd.
Programul „Conduit Search Protect”, cunoscut și sub denumirea „Search Protect by Conduit”, poate provoca erori grave de sistem la dezinstalare. Deși pretinde că protejează setările browserului, acesta împiedică modificarea acestora prin intermediul paginii de setări, menținând astfel configurările nedorite. Utilizatorii au raportat că opțiunea de schimbare a paginii de pornire de la motorul recomandat (de exemplu, Trovi) revine automat după o perioadă de timp. În unele cazuri, programul de dezinstalare poate elimina fișiere esențiale de pornire din rădăcina unității C: și poate lăsa în registru fișierul BackGroundContainer.dll.
Conduit este asociat cu malware, spyware și adware, iar utilizatorii afectați au raportat apariția de ferestre pop-up nedorite și reclame inserate în pagini web.
Perion Network Ltd. a achiziționat divizia ClientConnect a Conduit la începutul anului 2014 și a încheiat ulterior un parteneriat cu Lenovo pentru dezvoltarea Lenovo Browser Guard, care utilizează componente ale Search Protect.
Victimele redirecționărilor către conduit.com au raportat, de asemenea, tentative de phishing, spam prin e-mail și mesaje nedorite, precum și apeluri telefonice de telemarketing. În unele cazuri, apelanții s-au prezentat drept reprezentanți Apple, Microsoft sau ai furnizorilor de servicii de internet, folosind informații personale și date despre obiceiurile de navigare ale utilizatorilor, posibil obținute prin spyware.
startsurf.com Deturnătorul de browser istartsurf.com poate înlocui instrumentele de căutare preferate ale utilizatorului. Acesta este distribuit, de regulă, la pachet cu aplicații terțe, iar instalarea sa poate avea loc fără notificări clare. Din acest motiv, utilizatorii afectați pot să nu fie conștienți că browserele lor, precum Internet Explorer, Google Chrome sau Mozilla Firefox, au fost compromise.
Search-dayly.com Search-daily.com este un deturnător de browser care poate fi descărcat de . Acesta redirecționează căutările utilizatorului către site-uri pornografice și este asociat cu degradarea performanței sistemului.
Snap.do Snap.do (Smartbar, dezvoltat de Resoft) este un program potențial malițios, clasificat drept deturnător de browser și spyware, care redirecționează browserele web către motorul de căutare snap.do. Programul poate fi descărcat manual de pe site-ul Resoft, însă este adesea instalat prin intermediul unor pachete software cu termeni de instalare înșelători. Afectează sistemele Windows și poate fi eliminat din meniul Add/Remove Programs.
De asemenea, Snap.do poate instala bare de instrumente, extensii și pluginuri malițioase, precum DVDVideoSoftTB, General Crawler și Save Valet.
Componenta General Crawler, instalată împreună cu Snap.do, utilizează mecanisme de tip backdoor și se poate reinstala sau reactiva după încercările de eliminare prin intermediul browserului.
Snap.do poate dezactiva opțiunile de modificare a paginii de pornire și a motorului de căutare implicit.
Conform politicilor produsului, Resoft poate colecta diverse informații, inclusiv: domeniul și adresa IP de la care utilizatorul accesează produsele Resoft; rezoluția ecranului; data și ora accesării produselor; paginile vizitate prin intermediul produselor Resoft; site-ul de referință de pe care utilizatorul a accesat un serviciu Resoft.
Prin utilizarea produselor Resoft, utilizatorul își exprimă acordul pentru transferul și prelucrarea datelor cu caracter personal atât în interiorul, cât și în afara Statelor Unite ale Americii.
Programul de instalare SourceForge O versiune anterioară a programului de instalare SourceForge includea instalatori de adware și programe potențial nedorite (PUP).
Unele dintre aceste instalatoare modificau setările browserelor Firefox, Chrome și Internet Explorer pentru a seta site-ul „istartsurf.com” ca pagină de pornire. Acest lucru era realizat prin modificări ale registrului și instalarea unui software care restaura automat setările nedorite dacă utilizatorul încerca să le schimbe.
La 1 iunie 2015, SourceForge a anunțat că a încetat includerea „ofertelor terților” în proiectele care nu sunt întreținute.
Vosteran Vosteran este un deturnător de browser care modifică pagina de pornire și motorul de căutare implicit, redirecționându-le către vosteran.com. Acesta este distribuit, în principal, prin pachete de aplicații terțe. Identitatea operatorului domeniului este protejată prin serviciul privacyprotect.org din Australia, iar domeniul este înregistrat prin Whiteknight.
Trovi Trovi poate fi instalat odată cu anumite programe, precum „Cheat Engine” sau versiuni modificate ale „VLC Player”, descărcate de pe site-uri de aplicații gratuite (de exemplu, Softonic sau Download.com).
Trovi utilizează motorul de căutare Bing pentru a afișa rezultatele, însă interogările utilizatorului sunt procesate prin propriul serviciu. Deși bara de adrese poate indica Bing.com, căutările sunt redirecționate prin Trovi. Anterior, serviciul afișa rezultatele pe propriul site, dar ulterior a adoptat integrarea cu Bing pentru a părea mai legitim.
Programul controlează, de asemenea, setările paginii de pornire și ale filei noi, împiedicând revenirea la configurațiile originale. În funcție de browser, pot apărea reclame suplimentare în paginile afișate.
După infectare, browserul poate fi redirecționat de la motoare de căutare precum Google către trovi.com.
Trovi a fost creat folosind serviciul de creare a barelor de instrumente oferit de și este cunoscut pentru metode de distribuție similare cu cele ale barelor de instrumente Conduit.
Note
Categorie:Tipuri de software rău intenționat