Quảng cáo Google độc hại lừa người dùng WinSCP cài đặt phần mềm độc hại

Quảng cáo Google độc hại lừa người dùng WinSCP cài đặt phần mềm độc hại

Các tác nhân đe dọa đang lợi dụng các kết quả tìm kiếm bị thao túng và các quảng cáo giả mạo của Google để lừa những người dùng đang tìm cách tải xuống phần mềm hợp pháp như WinSCP cài đặt phần mềm độc hại.

Quảng cáo Google độc hại Lừa người dùng WinSCP cài đặt phần mềm độc hại

Các nhà nghiên cứu bảo mật Den Iuzvyk, Tim Peck và Oleg Kolesnikov cho biết trong một báo cáo được chia sẻ với The Hacker: “Quảng cáo độc hại hướng người dùng đến một trang web WordPress bị xâm nhập gameeweb[.]com, chuyển hướng người dùng đến một trang web lừa đảo do kẻ tấn công kiểm soát”. Tin tức.

Các tác nhân đe dọa được cho là đã tận dụng Quảng cáo tìm kiếm động (DSA) của Google, quảng cáo này tự động tạo quảng cáo dựa trên nội dung của trang web để phân phát quảng cáo độc hại đưa nạn nhân đến trang web bị nhiễm.

Mục tiêu cuối cùng của chuỗi tấn công nhiều giai đoạn phức tạp là lôi kéo người dùng nhấp vào trang web WinSCP giả mạo, trông giống nhau, winccp[.]net và tải xuống phần mềm độc hại.

Các nhà nghiên cứu cho biết: “Lưu lượng truy cập từ trang web gaweeweb[.]com đến trang web winccp[.]net giả mạo phụ thuộc vào tiêu đề liên kết giới thiệu chính xác được đặt đúng cách”. "Nếu người giới thiệu không chính xác, người dùng sẽ bị 'Rickrolled' và được đưa đến video YouTube khét tiếng của Rick Astley."

Tải trọng cuối cùng có dạng tệp ZIP ("WinSCP_v.6.1.zip") đi kèm với một tệp thực thi thiết lập, khi được khởi chạy, sử dụng tải bên DLL để tải và thực thi tệp DLL có tên python311.dll có trong kho lưu trữ.

Về phần mình, DLL tải xuống và thực thi trình cài đặt WinSCP hợp pháp để theo kịp mưu mẹo, đồng thời lén lút thả các tập lệnh Python ("slv.py" và "wo15.py") vào nền để kích hoạt hành vi độc hại. Nó cũng chịu trách nhiệm thiết lập sự kiên trì.

Cả hai tập lệnh Python đều được thiết kế để thiết lập liên lạc với máy chủ do tác nhân điều khiển từ xa nhằm nhận thêm các hướng dẫn cho phép kẻ tấn công chạy các lệnh liệt kê trên máy chủ.

Các nhà nghiên cứu cho biết: “Với thực tế là những kẻ tấn công đang tận dụng Google Ads để phát tán phần mềm độc hại, có thể tin rằng mục tiêu chỉ giới hạn ở bất kỳ ai đang tìm kiếm phần mềm WinSCP”.

“Khóa địa lý được sử dụng trên trang web lưu trữ phần mềm độc hại cho thấy những người ở Hoa Kỳ là nạn nhân của cuộc tấn công này.”

Đây không phải là lần đầu tiên Quảng cáo tìm kiếm động của Google bị lạm dụng để phát tán phần mềm độc hại. Cuối tháng trước, Malwarebytes đã vạch trần một chiến dịch nhắm mục tiêu vào người dùng đang tìm kiếm PyCharm với các liên kết đến một trang web bị tấn công lưu trữ trình cài đặt giả mạo, mở đường cho việc triển khai phần mềm độc hại đánh cắp thông tin.

Quảng cáo độc hại đã trở nên phổ biến đối với tội phạm mạng trong vài năm qua, với nhiều chiến dịch phần mềm độc hại sử dụng chiến thuật tấn công này trong những tháng gần đây.

Sự gia tăng các chiến dịch đọc lướt thẻ tín dụng vào tháng 10 năm 2023, ước tính đã xâm phạm hàng trăm trang web thương mại điện tử nhằm mục đích đánh cắp thông tin tài chính bằng cách đưa vào các trang thanh toán giả mạo đầy thuyết phục.

Hương – TheHackerNews

Tin liên quan:

Standard Post with Image

Thông báo thời gian nghỉ lễ Giỗ Tổ Hùng Vương 2024

NTS Group xin thông báo đến Quý khách hàng thời gian nghỉ lễ Giỗ Tổ Hùng Vương ngày Thứ Năm 18/04/2024 theo hướng dẫn của Chính Phủ ban hành. Chúng...

Chi tiết
Standard Post with Image

Năm công nghệ của Kaspersky để bảo vệ tài chính cá nhân của bạn

Tài chính kỹ thuật số của chúng ta dễ bị tấn công bởi tội phạm kỹ thuật số. Hãy cùng xem xét cách các công nghệ và sản phẩm của Kaspersky bảo vệ tiền...

Chi tiết
Standard Post with Image

Giải pháp bảo mật của Kaspersky giành được số lượng giải thưởng kỷ lục trong các cuộc thử nghiệm độc lập

Vào năm 2023, các sản phẩm và giải pháp của Kaspersky đã tham gia chính xác 100 nghiên cứu độc lập — giành chiến thắng 93 lần: năm thành công nhất từ...

Chi tiết