맥을 노리는 악성 소프트웨어 중에서도 브라우저 하이재커(browser hijacker)는 가장 성가신 유형 중 하나로 꼽힙니다. 일단 기기에 감염되면 웹 브라우징 환경설정이 통제 불능 상태에 빠지면서, 원치 않는 악성 웹사이트로 트래픽이 강제로 전송됩니다. 이런 공격이 치명적이라고 보기는 어렵지만, 닫히지 않는 광고를 상대해야 하는 상황이라면 그 불쾌함은 이루 말할 수 없습니다. 따라서 브라우저 하이재커가 시스템에 스며들었다면 맥을 철저히 청소해야 합니다.
최근 맥 사용자들을 괴롭히고 있는 브라우저 하이재커 중 하나가 바로 '서치 배론(Search Baron)', 즉 Searchbaron.com입니다. 지난 몇 주 동안 수많은 맥 컴퓨터에 침투해 보안 업계에 큰 혼란을 일으켰습니다. 이 악성코드는 브라우저의 기본 인터넷 설정을 장악해 사용자의 웹 트래픽을 재분배하는 방식으로 나타납니다. 감염된 사용자가 특정 웹사이트에 접속하려 해도 Searchbaron.com으로의 리디렉션은 눈에 보이지 않으며, 사용자는 트래픽이 bing.com으로 넘어가는 것만 확인하게 됩니다.
Searchbaron.com이란?
Searchbaron.com은 더 나은 검색 결과를 제공해 브라우징 경험을 개선한다고 주장하는 악성 웹사이트입니다. 이 사이트는 대개 피해자가 모르게 컴퓨터에 감염되는 각종 유령 애플리케이션이나 잠재적으로 원치 않는 프로그램(PUP)에 의해 유포됩니다.
Searchbaron.com은 기만적인 팝업 광고, 가짜 플래시 플레이어 설치 파일, 토렌트 파일 다운로드, 무료 소프트웨어 설치 프로그램(번들링) 등을 통해 확산되는 경우가 많습니다. Searchbaron.com이 붙어 유통되는 정상 앱 중 하나로는 동료 및 전문가와 연결하고 네트워크를 형성할 수 있게 해주는 'Spaces'가 있습니다.
흥미로운 점은, 대부분의 브라우저 하이재커와 달리 Searchbaron.com은 브라우저 설정 자체를 수정하지 않는다는 것입니다. 대신 사용자가 검색어를 입력하는 순간을 감지해 트래픽을 searchbaron.com으로 보내고, 여기서 다시 Amazon AWS 서비스를 거쳐 bing.com으로 이어지는 일련의 리디렉션 체인이 시작됩니다. 결국 빙(Bing)이 기본 검색엔진이 아니더라도 사용자는 빙을 통해 검색하게 됩니다. 빙 역시 정상 검색엔진이기 때문에 이런 리디렉션이 직접적인 피해를 주는 것은 아니지만, 브라우징 경험에는 상당한 악영향을 미칩니다.
또한 잠재적으로 원치 않는 프로그램(PUP)과 가짜 검색엔진은 IP 주소, 브라우징 기록, 열람한 웹 페이지, 검색어 등 겉보기에 사소해 보이는 정보까지 수집하도록 설계되어 있다는 점을 유념해야 합니다. 수집된 정보는 수익 창출을 위해 제3자에게 공유되거나 판매됩니다. 이는 맥에 더 많은 성가신 광고를 띄울 뿐만 아니라 심각한 개인정보 문제, 나아가 신원 도용으로까지 이어질 수 있습니다.
게다가 브라우저에서 Searchbaron.com 리디렉션을 제거하는 과정은 꽤 복잡합니다. 모든 구성 요소가 완전히 삭제되지 않으면 악성코드가 계속 되살아나기 때문입니다. 재감염을 막으려면 Searchbaron.com을 철저히 박멸해야 합니다.
Searchbaron.com은 어떻게 유포되나?
브라우저 하이재킹 소프트웨어는 대개 사용자가 인지하지 못한 채 컴퓨터에 침투합니다. 개발자 또는 사이버 범죄자들이 공격적인 광고나 '번들링(bundling)'이라 불리는 기만적 마케팅 방식을 통해 배포하기 때문입니다. 공격적인 광고는 사용자를 의심스러운 웹사이트로 유인하며, 일부 사이트는 원치 않는 애플리케이션을 다운로드하거나 설치하는 스크립트를 실행하기도 합니다.
번들링은 정상 소프트웨어에 제3자 앱을 몰래 함께 설치하는 방식입니다. 개발자들은 대부분의 사용자가 설치 과정을 서두르고, 안내문을 읽지 않으며, 단계를 건너뛰는 경향이 있다는 점을 잘 알고 있습니다. 그래서 번들 앱은 보통 설치 과정의 '사용자 지정(Custom)' 또는 '고급(Advanced)' 옵션 뒤에 숨겨져 있습니다.
또 어떤 사용자는 설치 단계 일부를 생략하려고 광고를 시청하다가, 자신도 모르게 유령 앱을 설치하는 경우도 있습니다. 이렇게 하면 시스템이 각종 악성코드의 위험에 노출되고 데이터 프라이버시도 위태로워집니다.
Searchbaron.com은 어떻게 작동하나?
언뜻 보면 이 브라우저 하이재킹 공격의 의도가 잘 이해되지 않을 수 있습니다. 굳이 맥 브라우저 설정을 완전히 바꿔놓고, 그마저 정상 검색엔진인 빙으로 보내다니요. 그러나 이 캠페인의 논리는 겉보기보다 훨씬 교묘합니다. 리디렉션이 발생할 때마다 알려진 악성 도메인인 searchnewworld.com을 비롯해 AWS(Amazon Web Services) 플랫폼에 호스팅된 웹 페이지 등 중간 경유지를 거치는 복잡한 경로를 따라갑니다. 여러 맥 사용자가 신고한 searchroute-1560352588.us-west-2.elb.amazonaws.com이 바로 그런 AWS 호스팅 페이지 중 하나입니다.
정상 클라우드 네트워크를 의심스러운 웹 리소스의 거점으로 활용하면 사이버 범죄자가 블랙리스트 등재를 회피하기가 한결 수월해집니다. 이런 사이트들은 브라우저에서 눈에 띄게 표시되지 않지만 실제로는 재라우팅 과정에서 방문됩니다. 결과적으로 악성코드는 최종적으로 해석된 웹사이트가 bing.com뿐인 것처럼 보이게 만들면서 특정 웹 페이지로 트래픽을 유입시킵니다. 이런 속임수는 새로운 것이 아니지만, 수익화를 위해 트래픽을 가로채는 데 효과적인 수단으로 쓰여 왔습니다.
서치 배론 하이재커는 그토록 번거로워서 사용자들이 또 다른 악질적인 면모를 놓치기 쉽습니다. macOS에서 구동될 때 서치 배론은 추가로 피해자의 온라인 활동을 감시합니다. 어떤 웹사이트를 방문했는지, 어떤 검색어를 입력했는지 조용히 기록합니다. 나아가 온라인 뱅킹 정보, 이메일 로그인, 클라우드 서비스 계정 같은 민감한 자격 증명까지 노릴 수 있습니다. 이런 정보를 모으면 서치 배론 배후의 공격자는 경계심 없는 피해자에 대한 완전한 프로필을 만들어 신원 도용과 피싱 공격에 활용할 수 있습니다. 수집된 데이터가 마케터, 광고주 또는 대형 해킹 조직 같은 제3자에게 판매될 가능성도 매우 높습니다.
서치 배론이 맥에 침투하면 지속성을 확보하기 위해 로그인 항목(login items)에 자신을 추가합니다. 동시에 사용자가 선호하는 웹 브라우저 설정을 변경해 검색엔진과 홈페이지 기본값을 searchbaron.com으로 바꿉니다. 자세히 살펴보면 URL 뒤에 악성 광고(malvertising) 냄새가 진동하는 꼬리가 달려 있는 것을 발견할 수 있습니다. 예컨대 searchbaron.com/v1/hostedsearch 또는 https://www.searchbaron.com/v1/hostedsearch?pid=252428&subid965&keyword={searchTerms} 같은 문자열입니다.
짜증나는 점은 Safari, Chrome, Firefox에서 수동으로 올바른 설정을 아무리 골라도 변경 사항을 되돌릴 수 없다는 것입니다. 악성코드가 설치한 악성 플러그인이 브라우저 설정을 계속해서 다시 변경하기 때문입니다. 서치 배론은 시스템 환경설정(System Preferences)에 새로운 관리자 프로필도 추가합니다. 이 프로필이 청소 작업의 완결을 막고 악성코드가 계속 되살아나게 만듭니다. 브라우저의 Searchbaron.com 리디렉션을 완전히 제거하려면 서치 배론 바이러스 본체와 권한 상승(privilege escalation)용 구성 요소까지 모두 제거해야 합니다. 이것들이 삭제되고 나면 영향받은 브라우저의 변경 사항을 되돌릴 수 있습니다.
Searchbaron.com 제거 방법
앞서 언급했듯이 Searchbaron.com은 제거를 어렵게 만드는 구성 요소를 시스템에 심어둡니다. macOS에서 완전히 걷어내려면 단계별 제거 가이드를 차근차근 따라야 합니다.
Searchbaron.com을 삭제한 후에는 이 악성코드와 유사한 종류의 위협으로부터 컴퓨터를 지키기 위해 좋은 온라인 보안 습관을 실천해야 합니다. 믿음직한 안티맬웨어 프로그램을 설치하고 시스템을 항상 최신 상태로 유지해 취약점을 최소화하세요. 또한 신뢰할 수 있는 맥 클리닝 앱으로 정기적인 시스템 관리 일정을 세우는 것도 좋습니다. 무엇보다 인터넷에서 다운로드하는 앱과 클릭하는 링크에는 언제나 경계심을 늦추지 않는 것이 중요합니다.