Secuestro del navegador

El secuestro del navegador o secuestro de navegadores es una forma de software no deseado que modifica la configuración de un navegador web sin el permiso del usuario, con el fin de inyectar en el navegador publicidad indeseada. Este tipo de programas pueden reemplazar o modificar la página de inicio del navegador, la página de error 404 o el motor de búsqueda elegido por defecto.[1]​ Generalmente se utilizan para forzar visitas a un sitio web en particular, aumentando sus ingresos por publicidad.

Algunos secuestradores de navegador también contienen spyware; por ejemplo, algunos instalan un software keylogger para recopilar información como datos bancarios y información privada, contraseñas y email (correo electrónico). Algunos secuestradores de navegador también pueden dañar el registro del sistema, muchas veces permanentemente.

Algunas veces los secuestros de navegador se pueden revertir fácilmente, aunque en la mayoría de casos pueden ser difíciles de revertir. Existen varios programas para evitar esa modificación.

Muchos programas de secuestro de navegadores se incluyen en paquetes de programas en casillas de instalación que el usuario desmarcó (o no desmarcó) y se disfrazan como ofertas en el instalador de otro programa (muchas veces pirateado), varias veces, sin instrucciones de desinstalación ni información sobre lo que hacen, y se presentan de una manera que está diseñada para ser confusa para el usuario promedio, para engañarlo y provocar que instale programas adicionales indeseado.[2]​[3]​[4]​[5]​

Existen muchos métodos que los secuestradores de navegador usan para entrar a la PC del usuario. Los archivos anclados a correos electrónicos (usualmente sospechosos) y los archivos descargados a través de sitios web sospechosos o llenos de anuncios (o de piratería de programas) y torrentes (Bittorrent) son tácticas comunes que usan los secuestradores de navegadores.^[cita requerida]

Seguridad

Programa de seguridad falso

Algunos programas de seguridad fraudulentos también secuestrarán la página de inicio, generalmente mostrando un mensaje como WARNING! Your computer is infected by spyware! para redirigir a la página de antispyware. La página de inicio volverá a la normalidad una vez que el usuario compre su programa. Se sabe que programas como WinFixer secuestran la página de inicio del navegador y redirigen al usuario a otro sitio web.

Páginas de dominio inexistentes

Se consulta el DNS (Domain Name System sin abreviar) cuando un usuario escribe el nombre de un sitio web (por ejemplo, wikipedia.org, flipline.com, search.brave.com, etc.) y el DNS devuelve la dirección IP del sitio web si existe. Si un usuario escribe mal el nombre de un sitio web, el DNS devolverá una respuesta de Dominio Inexistente (NXDOMAIN).

En 2006, EarthLink comenzó a redirigir nombres de dominio mal escritos a una página de búsqueda. Esto se hizo interpretando el código de error NXDOMAIN a nivel del servidor. El anuncio generó muchas reacciones negativas y EarthLink ofreció servicios sin esta función.[6]​

Los programas indeseados a menudo no incluyen ninguna señal de que están instalados ni instrucciones para desinstalarlos o cancelar su uso.[2]​

La mayoría de los programas de secuestro de navegador cambian constantemente muchas veces la configuración de los navegadores, lo que significa que las opciones del navegador que el usuario configuro se sobreescriben habitualmente. Algunos programas de antivirus identifican el programa malicioso de secuestro del navegador como software malicioso y pueden eliminarlo. Algunos programas de escaneo de spyware tienen una función de restablecimiento del navegador para restablecer la configuración del navegador del usuario a la normalidad o alertarlo cuando se ha modificado la página de su navegador.

Como evitar

A partir de Windows 10, los navegadores ya no pueden configurarse como predeterminados del sistema sin intervención adicional; el cambio del navegador web predeterminado debe ser realizado manualmente por el usuario desde la página Aplicaciones predeterminadas de Configuración del sistema, aparentemente para evitar el secuestro del navegador.[7]​

Ejemplos de secuestradores de navegador

Muchos secuestradores de navegador cambian la página de inicio del navegador, muestran anuncios (indeseados o inapropiados) y/o cambian el motor de búsqueda predeterminado; estos incluyen Astromenda (www.astromenda.com),[8]​[9]​[10]​ Ask Toolbar ( ask.com ), ESurf (esurf.biz) Binkiland (binkiland.com), Delta y Claro, Dregol,[11]​ Jamenize, Mindspark, Groovorio, Sweet Page, Mazy Search, Search Protect by Conduit junto con search.conduit.com y variantes, Tuvaro, Spigot, en.4yendex.com, Yahoo, etc. 

Babylon Toolbar

Babylon Toolbar es un secuestrador del navegador que cambiará la página de inicio del navegador y establecerá el motor de búsqueda predeterminado en isearch.babylon.com. También es un adware en cierta forma. Muestra anuncios, enlaces patrocinados y resultados de búsqueda pagados falsos. El programa recopilará términos de búsqueda de sus consultas de búsqueda.

En 2011, el sitio de CNet Download.com comenzó a agrupar Babylon Toolbar con paquetes de código abierto como Nmap. Gordon Lyon, el desarrollador de Nmap, estaba molesto por la forma en que los usuarios de su software fueron engañados para usar la barra de herramientas.[12]​ El vicepresidente de Download.com, Sean Murphy, publicó una disculpa: La inclusión de este software fue un error de nuestra parte y pedimos disculpas a las comunidades de usuarios y desarrolladores por el malestar que causó.

Variantes parecidas de Babylon Toolbar y la página de inicio de búsqueda de Babylon, incluidas: Bueno Search, Delta Search, Claro Search y Search GOL. Todas estas variantes afirman ser propiedad de Babylon en los términos del servicio.

Todas las barras de herramientas fueron creadas por Montiera.[13]​

Conduit (Search Protect)

Conduit es un PUP/secuestrador de navegador. Roba información personal y personal del usuario y se la da a un tercero. Malwarebytes ha identificado esta barra de herramientas como Programas Potencialmente No Deseados (PUP) [14]​ y normalmente se incluye en las descargas gratuitas.[15]​[16]​ Estas barras de herramientas modifican el motor de búsqueda predeterminado del navegador, la página de inicio, la página de Nueva Pestaña y varias otras configuraciones del navegador. Existen variantes similares de Conduit Search como trovi.com, trovigo.com, better-search.net, seekforsearch.com, searchitdown.com, clearsearches.com, search-armor.com, searchthatup.com y premiumsearchweb.com, junto con otras variantes que se crearon de forma personalizada para el servicio de creación de barras de herramientas que Conduit Ltd ofrecía.^[cita requerida]

Un programa llamado Conduit Search Protect, más conocido como Search Protect by Conduit, puede causar graves errores del sistema al desinstalarlo. Afirma proteger la configuración del navegador, pero en realidad bloquea todos los intentos de manipular un navegador a través de la página de configuración; en otras palabras, se asegura de que la configuración maliciosa permanezca sin cambios. Search Protect tiene una opción para cambiar la página de inicio de búsqueda de la página de inicio de búsqueda «recomendada» de Trovi, sin embargo, los usuarios han informado que vuelve a cambiar a Trovi después de un período de tiempo. El programa de desinstalación de Search Protect puede provocar que Windows no pueda prender porque el archivo de desinstalación dee no solo elimina sus propios archivos, sino también todos los archivos de arranque en el root del sistema C:/. (incompleto debido a cita requerida) y deja un archivo BackGroundContainer.dll en el registro de inicio.[17]​ Conduit está asociado con malware, spyware y adware, ya que las víctimas del secuestrador Conduit han informado ventanas emergentes no deseadas y anuncios incrustados en el texto, en sitios sin anuncios.

Perion Network Ltd. adquirió el negocio ClientConnect de Conduit a principios de enero de 2014, y luego se asoció con Lenovo para crear Lenovo Browser Guard, que utiliza componentes de Search Protect.

Las víctimas de redirecciones indeseadas a conduit.com también han informado que han sido atacadas por intentos de phishing y han recibido correo electrónico indeseado, correo basura, otros mensajes y llamadas telefónicas de telemercaderistas de spam. Algunas víctimas afirman que quienes llamaron dijeron ser Apple, Microsoft o su ISP, y les dijeron que en algunas llamadas telefónicas se utilizó información personal y que algunas de las llamadas se referían a sus hábitos de navegación y al historial de navegación reciente. La información personal utilizada en intentos de phishing puede estar asociada con spyware.[18]​

istartsurf.com

El secuestrador de navegador istartsurf.com puede reemplazar las herramientas de búsqueda preferidas. Esta infección viaja incluida en aplicaciones de terceros y su instalación puede ser indetectable. Debido a esto, los usuarios afectados no son conscientes de que el secuestrador ha infectado sus navegadores Internet Explorer, Google Chrome o Mozilla Firefox.[19]​

Search-daily.com es un secuestrador que puede ser descargado por el troyano Zlob. Redirige las búsquedas del usuario a sitios de pornografía. También se sabe que ralentiza el rendimiento del ordenador.[20]​

Snap.do

Snap.do (Smartbar desarrollado por Resoft) es un malware potencial, categorizado como secuestrador de navegador y spyware, que hace que los navegadores de Internet redirijan al motor de búsqueda Snap.do. Snap.do puede ser descargado manualmente desde el sitio web de Resoft, aunque muchos usuarios quedan atrapados por sus términos poco éticos. Afecta a Windows y se puede eliminar a través del menú Agregar o quitar programas. También puede descargar muchas barras de herramientas, complementos y plug-ins maliciosos como DVDVideoSoftTB, General Crawler y Save Valet.

Se sabe que General Crawler, instalado por Snap.do, utiliza un proceso de backdoor porque se reinstala y se vuelve a activar a si mismo cada vez que un usuario afectado lo elimina a través de su(s) navegador(es).

Snap.do desactivara la opción para cambiar la página de inicio y motor de búsqueda predeterminado.

Resoft rastreará la siguiente información:

• El dominio de Internet y la dirección IP desde la que el usuario accede a los Productos de Resoft (ubicación, ID, etc.)
• Resolución de pantalla del monitor de la computadora del usuario
• La fecha y hora en que el usuario accede intencional o involuntariamente a los productos de Resoft.
• Las páginas que el usuario está visitando con los productos de Resoft (con o sin conocimiento del uso de los productos de Resoft, Snap.do)
• Si el usuario se vinculó voluntaria o involuntariamente a un sitio web de Resoft desde otro sitio web de referencia, será rastreada la dirección web de ese sitio web.

Al utilizar los Productos Resoft, el usuario consiente que sus datos personales sean transferidos y procesados tanto dentro como fuera de los Estados Unidos.

Al utilizar el sitio web de Resoft, el usuario acepta los usos anteriores de su información de esta manera por parte de Resoft.[21]​

SourceForge Installer

Un instalador anterior de SourceForge incluía instaladores de adware y PUP.[22]​

Uno en particular cambia la configuración del navegador Firefox, Chrome e Internet Explorer para mostrar el sitio web istartsurf.com (previamente mencionado) como página de inicio. Lo hace modificando la configuración del registro e instalando un software que restablece la configuración si el usuario intenta cambiarla.

El 1 de junio de 2015, SourceForge afirmó que había dejado de vincular «ofertas de terceros» con proyectos SourceForge sin mantenimiento.[23]​

Trojan.WinLNK.Agent

Trojan.WinLNK.Agent (también conocido como Trojan:Win32/Startpage.OS ) es la definición de Kaspersky Labs de un descargador de troyanos, troyano cuentagotas o troyano spyware. Su primera detección conocida se remonta al 31 de mayo devos troyanos con la extensión LNK (expresión) son un acceso directo de Windows a un archivo, programa o carpeta malicioso. Un archivo LNK de esta familia lanza un ejecutable malicioso o puede ser descargado por otro malware. Estos archivos son utilizados principalmente como gusanos para propagarse a través de unidades USB (es decir). En 2016, India tuvo la mayor cantidad de incidentes relacionados con este troyano con 18,36 % en todo el mundo.[24]​

Otros alias:

• Win32/StartPage.NZQ ( ESET )
• Trojan.WinLNK.Startpage ( Laboratorios Kaspersky )
• Trojan:Win32/Startpage.OS ( Microsoft ) [25]​

Otras variantes:

• Trojan.WinLNK.Agent.ae
• Trojan.WinLNK.Agent.ew

Vosteran

Vosteran es un secuestrador de navegador que cambia la página de inicio del navegador y el proveedor de búsqueda a vosteran.com. Esta infección es esencialmente incluida con otras aplicaciones de terceros. La identidad de Vosteran está protegida por privacyprotect.org de Australia. Vosteran está registrado con Whiteknight.[26]​

Trovi

Se puede encontrar al instalar Cheat Engine o una versión diferente de VLC Player en www.oldapps.com, o al descargar aplicaciones de ciertos sitios de software gratuito, como Softonic.com o Download.com.

Trovi utiliza Bing (un motor de búsqueda legítimo) para proporcionar resultados al usuario. Aunque la barra de direcciones cambia a Bing.com cuando se muestran los resultados de búsqueda, las palabras clave de búsqueda se ejecutan a través de Trovi de todos modos. Anteriormente, Trovi utilizaba su propio sitio web para mostrar resultados de búsqueda con el logotipo en la esquina superior izquierda de la página, pero luego cambió a Bing en un intento de engañar a los usuarios más fácilmente. Trovi no es tan letal como antes al eliminar los anuncios de los resultados de búsqueda según el navegador que se utilice, pero aún se considera un secuestrador de navegador.

También controla la configuración de la página de inicio y de la página de nueva pestaña para prohibir la posibilidad de volver a cambiarlas a la configuración original. Dependiendo del navegador que se utilice, pueden aparecer anuncios en la página.

Cuando infecta, hace que el navegador se redireccione desde Google y otros motores de búsqueda a trovi.com.[27]​

Trovi se creó utilizando el servicio de creación de la barra de herramientas Conduit y se sabe que infecta de formas similares a Conduit toolbar.

Referencias

1. «Browser Hijacking Fix & Browser Hijacking Removal». Microsoft. Archivado desde el original el 7 de febrero de 2015. Consultado el 23 de octubre de 2012. 
2. «Malwarebytes Potentially Unwanted Program Criteria». Malwarebytes. Archivado desde el original el 9 de abril de 2016. Consultado el 7 de agosto de 2015. 
3. «Rating the best anti-malware solutions». Arstechnica. 15 de diciembre de 2009. Archivado desde el original el 2 de febrero de 2014. Consultado el 28 de enero de 2014. 
4. «Threat Encyclopedia – Generic Grayware». Trend Micro. Archivado desde el original el 14 de julio de 2014. Consultado el 27 de noviembre de 2012. 
5. «PUP Criteria». Malwarebytes. Archivado desde el original el 9 de abril de 2016. Consultado el 6 de enero de 2019. 
6. Mook, Nate (6 de septiembre de 2006). «EarthLink Criticized for DNS Redirects». betaNews. Archivado desde el original el 1 de mayo de 2012. Consultado el 9 de mayo de 2012. 
7. «Mozilla blasts Microsoft for making it harder to switch to Firefox in Windows 10». The Verge. Vox Media. 30 de julio de 2015. Archivado desde el original el 31 de julio de 2015. Consultado el 18 de octubre de 2015. 
8. «PUA.Astromenda». Symantec. Archivado desde el original el 8 de septiembre de 2015. Consultado el 24 de agosto de 2015. 
9. «How to Remove Astromenda Search From Your Browser». Lavasoft. Archivado desde el original el 5 de septiembre de 2015. Consultado el 24 de agosto de 2015. 
10. «Remove Astromenda, Buzzdock and Extended Update toolbar from your browser». norton.com. Archivado desde el original el 25 de septiembre de 2015. Consultado el 24 de agosto de 2015. 
11. «Dregol Search Removal | Removal Guide». Archivado desde el original el 10 de abril de 2021. Consultado el 22 de marzo de 2016. 
12. Leyden, John. «Download.com sorry for bundling Nmap with crapware». www.theregister.com (en inglés). Archivado desde el original el 11 de enero de 2023. Consultado el 11 de enero de 2023. 
13. «Montiera». montiera.com. Archivado desde el original el 3 de diciembre de 2016. Consultado el 13 de enero de 2022. 
14. «How to remove Search Protect by Conduit Ltd». Lavasoft. 1 de junio de 2013. Archivado desde el original el 10 de septiembre de 2014. Consultado el 12 de octubre de 2013. 
15. «Bundle Your Software with a Custom Toolbar & Start Making Money». Conduit Ltd. 2013. Archivado desde el original el 31 de marzo de 2014. Consultado el 12 de octubre de 2013. 
16. «Download me II—Removing the remnants of the Web's most dangerous search terms». Ars Technica. 25 de agosto de 2013. Archivado desde el original el 1 de octubre de 2013. Consultado el 12 de octubre de 2013. 
17. «Fixing BackgroundContainer.dll Left Over by Conduit Ltd». appuals. Archivado desde el original el 26 de marzo de 2015. Consultado el 20 de marzo de 2015. 
18. «How To Remove Search Protect By Conduit Ltd». Lavasoft. Archivado desde el original el 2 de diciembre de 2014. Consultado el 3 de diciembre de 2014. 
19. «Remove istartsurf». support.kaspersky.com. Kaspersky Lab. Archivado desde el original el 30 de septiembre de 2013. Consultado el 24 de junio de 2010. 
20. «Browser Hijacker». nodsrv. 31 de julio de 2023. Archivado desde el original el 30 de septiembre de 2023. Consultado el 13 de noviembre de 2024. 
21. «How To Remove Snap.Do Browser Hijacker». Lavasoft. Archivado desde el original el 8 de agosto de 2014. Consultado el 4 de agosto de 2014. 
22. «istartsurf.com - browser hijacking - startup page on all browsers | Endpoint SWAT: Protect the Endpoint Community». community.broadcom.com. Archivado desde el original el 11 de enero de 2023. Consultado el 11 de enero de 2023. 
23. «Third party offers will be presented with Opt-In projects only - SourceForge Community Blog». SourceForge Community Blog (en inglés estadounidense). 1 de junio de 2015. Archivado desde el original el 11 de agosto de 2018. Consultado el 16 de agosto de 2018. 
24. Kaspersky Threats — TROJAN.WINLNK.RUNNER
25. Trojan:Win32/Startpage.OS
26. «Remove Vosteran». How To Remove. 25 de noviembre de 2014. Archivado desde el original el 13 de febrero de 2015. Consultado el 25 de noviembre de 2014. 
27. «How To Remove Trovi.com & Trovi Search From Mac Or Windows» (en inglés estadounidense). 7 de septiembre de 2018. Archivado desde el original el 5 de diciembre de 2022. Consultado el 11 de enero de 2023. 

Enlaces externos

• Esta obra contiene una traducción derivada de «Browser hijacking» de Wikipedia en inglés, publicada por sus editores bajo la Licencia de documentación libre de GNU y la Licencia Creative Commons Atribución-CompartirIgual 4.0 Internacional.
• Análisis de un archivo en VirusTotal

• Datos: Q991306