Searchbaron.comとは?Macを狙うブラウザハイジャッカーの脅威と削除方法を徹底解説

Macを標的とする数あるマルウェアの中でも、ブラウザハイジャッカーは最も厄介な存在のひとつです。一度感染してしまうと、ウェブ閲覧の設定が勝手に書き換えられ、意図しない悪質なサイトへトラフィックを強制的にリダイレクトされるようになります。この種の攻撃は深刻な被害をもたらすものではありませんが、閉じても消えない広告に悩まされ続けるのは、実にストレスフルな体験です。もしブラウザハイジャッカーがシステムに侵入してしまったら、Macの徹底的なクリーンアップが必要になります。

近年Macユーザーを悩ませているブラウザハイジャッカーのひとつが「Search Baron(Searchbaron.com)」です。このマルウェアはここ数週間で多数のMacに侵入し、セキュリティ業界に大きな混乱をもたらしました。Searchbaron.comはブラウザのデフォルトのインターネット設定を乗っ取り、ユーザーのウェブトラフィックを再配布することで活動します。感染したユーザーがあるサイトにアクセスしようとしても、searchbaron.comへのリダイレクトは目に見えず、ユーザーにはbing.comへの転送だけが表示されます。

Searchbaron.comとは?

Searchbaron.comは、「より良い検索結果を提供する」とうたう悪質なウェブサイトです。実際には、ユーザーの知らない間にコンピュータへ感染するローグアプリケーションや潜在性不要プログラム(PUP)によって宣伝・拡散されています。

Searchbaron.comは、偽装ポップアップ広告、偽のFlash Playerインストーラー、トレントファイルのダウンロード、フリーソフトへのバンドル(同梱インストール)などを通じて配布されるのが一般的です。また、同僚や専門家とのネットワーク構築を支援するアプリ「Spaces」など、正規のアプリに紐付いて感染するケースも確認されています。

しかし、多くのブラウザハイジャッカーとは異なり、Searchbaron.comはブラウザ設定そのものを変更するわけではありません。このマルウェアはユーザーが検索クエリを入力したタイミングを検知すると、トラフィックをsearchbaron.comへリダイレクトし、そこからAmazon AWSサービス経由でbing.comへと連鎖的に転送します。結果として、ユーザーはBingがデフォルト検索エンジンになっていなくても、Bingでの検索を強いられることになります。Bing自体は正規の検索エンジンなので、このリダイレクト自体はそれほど有害ではありませんが、閲覧体験には大きな悪影響を及ぼします。

さらに注意すべきは、PUPや偽の検索エンジンは、IPアドレス、閲覧履歴、閲覧したページ、検索クエリなどの一見些細な情報を収集するよう設計されているという点です。収集された情報は第三者に共有・販売され、収益化されます。これによりMac上にさらなる迷惑広告が表示されるだけでなく、深刻なプライバシー問題やなりすまし被害につながる恐れもあります。

しかも、Searchbaron.comのリダイレクトをブラウザから除去する作業はかなり複雑です。関連コンポーネントを完全に削除しない限り、マルウェアは何度でも復活します。再感染を防ぐためには、Searchbaron.comを徹底的に駆除する必要があります。

Searchbaron.comはどのように感染するのか?

ブラウザハイジャッカーは、ユーザーの気づかないうちにコンピュータへ侵入するのが常です。開発者やサイバー犯罪者は、押し付けがましい広告や「バンドリング」と呼ばれる欺瞞的なマーケティング手法を使ってマルウェアを拡散しています。侵入型の広告はユーザーを不審なサイトへ誘導し、中にはスクリプトを実行して不要なアプリを自動的にダウンロード・インストールさせるものもあります。

一方、バンドリングとは、正規のソフトウェアにサードパーティ製アプリを密かに同梱してインストールさせる手法です。開発者は、ほとんどのユーザーがインストール手順を急ぎ、説明を読み飛ばし、ステップを省略しがちであることを熟知しています。そのため、バンドルされたアプリは通常、インストール画面の「カスタム/詳細設定」オプションの裏に隠されています。

また、インストールの手順をスキップするために広告を見ることを選んだユーザーの中には、気づかぬうちにローグアプリをインストールしてしまう人もいます。こうした行動は、さまざまなマルウェアの脅威にシステムを晒し、データのプライバシーを危険にさらすことになります。

Searchbaron.comの仕組み

一見すると、このブラウザハイジャック攻撃の狙いは謎に思えるかもしれません。Macのブラウザ設定を書き換えた挙句、正規の検索エンジンであるBingへ飛ばすだけなら、何の意味があるのでしょうか。しかし、このキャンペーンの背後にある論理は、見た目以上に巧妙です。リダイレクトが発生するたびに、トラフィックは複雑な経路をたどります。その途中には、悪名高いsearchnewworld.comや、AWS(Amazon Web Services)上でホストされているページなどの中継ドメインが含まれています。searchroute-1560352588.us-west-2.elb.amazonaws.comは、複数のMacユーザーから報告されたAWSホスト型ページのひとつです。

正規のクラウドネットワークを不審なWebリソースの駐留先として利用することで、サイバー犯罪者はブラックリスト登録を回避しやすくなります。これらのサイトはブラウザ上ではっきりと表示されることはありませんが、リルーティングの過程で実際にアクセスされています。つまりマルウェアは、解決されたサイトがBing.comだけであるように見せかけながら、特定のページへトラフィックを送り込んでいるのです。この手口自体は新しいものではありませんが、トラフィックを傍受して収益化する手法としては非常に効果的です。

Search Baronは非常にしつこいため、ユーザーはこのマルウェアのもうひとつの悪質な特性に気づきません。macOS上で動作している間、Search Baronは被害者のオンライン活動を監視します。どのサイトが訪問され、どんな検索クエリが入力されたかを密かに記録し続けるのです。さらに、オンラインバンキングの情報、メールのログイン情報、クラウドサービスの認証情報といった機微なデータまで標的になる可能性があります。これらの情報を集めることで、Search Baronの作者は無防備な被害者の完全なプロファイルを作成し、なりすましやフィッシング詐欺に利用できます。また、そのデータがマーケター、広告主、あるいは大規模なハッキンググループなどの第三者に売却される可能性も高いと言えます。

Search BaronがMacに侵入すると、永続化のために自分自身をログイン項目に追加します。さらに、ユーザーが好んで使うウェブブラウザの設定を変更し、検索エンジンとホームページのデフォルトをsearchbaron.comに書き換えます。よく観察すれば、URLの末尾にマルバタイジング(悪質広告)を思わせる文字列が付いていることに気づくでしょう。例えば、searchbaron.com/v1/hostedsearch や https://www.searchbaron.com/v1/hostedsearch?pid=252428&subid965&keyword={searchTerms} のような文字列です。

厄介なことに、Safari、Chrome、Firefoxに対して加えられた変更は、何度手動で正しい設定を選び直しても元に戻りません。これは、マルウェアがインストールした悪意のあるプラグインが、ブラウザの設定を何度も書き戻すためです。さらにSearch Baronは、システム環境設定に新しい管理プロファイルを追加します。このプロファイルがクリーンアップの完了を妨げ、マルウェアは何度でも復活します。ブラウザからSearchbaron.comのリダイレクトを完全に除去するには、Search Baronウイルス本体と、権限昇格のためのコンポーネントをすべて取り除く必要があります。それらを削除した後で、初めて影響を受けたブラウザの設定を元に戻せるのです。

Searchbaron.comの削除方法

前述のとおり、Searchbaron.comは除去を困難にするコンポーネントをシステムに組み込みます。macOSから完全に駆除するには、ステップバイステップの削除ガイドに従って作業を進めてください。

Searchbaron.comの削除が完了したら、このマルウェアやその亜種による再感染を防ぐために、健全なオンラインセキュリティ習慣を実践しましょう。信頼できるアンチマルウェアソフトを導入し、OSを常に最新の状態に保って脆弱性を最小限に抑えてください。また、信頼できるMacクリーニングアプリを使った定期的なメンテナンスを習慣にすることも有効です。そして何より、インターネットからダウンロードするアプリやクリックするリンクには常に注意を払いましょう。