Quảng cáo Google độc hại lừa người dùng WinSCP cài đặt phần mềm độc hại

Các tác nhân đe dọa đang lợi dụng các kết quả tìm kiếm bị thao túng và các quảng cáo giả mạo của Google để lừa những người dùng đang tìm cách tải xuống phần mềm hợp pháp như WinSCP cài đặt phần mềm độc hại.

Các nhà nghiên cứu bảo mật Den Iuzvyk, Tim Peck và Oleg Kolesnikov cho biết trong một báo cáo được chia sẻ với The Hacker: “Quảng cáo độc hại hướng người dùng đến một trang web WordPress bị xâm nhập gameeweb[.]com, chuyển hướng người dùng đến một trang web lừa đảo do kẻ tấn công kiểm soát”. Tin tức.

Các tác nhân đe dọa được cho là đã tận dụng Quảng cáo tìm kiếm động (DSA) của Google, quảng cáo này tự động tạo quảng cáo dựa trên nội dung của trang web để phân phát quảng cáo độc hại đưa nạn nhân đến trang web bị nhiễm.

Mục tiêu cuối cùng của chuỗi tấn công nhiều giai đoạn phức tạp là lôi kéo người dùng nhấp vào trang web WinSCP giả mạo, trông giống nhau, winccp[.]net và tải xuống phần mềm độc hại.

Các nhà nghiên cứu cho biết: “Lưu lượng truy cập từ trang web gaweeweb[.]com đến trang web winccp[.]net giả mạo phụ thuộc vào tiêu đề liên kết giới thiệu chính xác được đặt đúng cách”. "Nếu người giới thiệu không chính xác, người dùng sẽ bị 'Rickrolled' và được đưa đến video YouTube khét tiếng của Rick Astley."

Tải trọng cuối cùng có dạng tệp ZIP ("WinSCP_v.6.1.zip") đi kèm với một tệp thực thi thiết lập, khi được khởi chạy, sử dụng tải bên DLL để tải và thực thi tệp DLL có tên python311.dll có trong kho lưu trữ.

Về phần mình, DLL tải xuống và thực thi trình cài đặt WinSCP hợp pháp để theo kịp mưu mẹo, đồng thời lén lút thả các tập lệnh Python ("slv.py" và "wo15.py") vào nền để kích hoạt hành vi độc hại. Nó cũng chịu trách nhiệm thiết lập sự kiên trì.

Cả hai tập lệnh Python đều được thiết kế để thiết lập liên lạc với máy chủ do tác nhân điều khiển từ xa nhằm nhận thêm các hướng dẫn cho phép kẻ tấn công chạy các lệnh liệt kê trên máy chủ.

Các nhà nghiên cứu cho biết: “Với thực tế là những kẻ tấn công đang tận dụng Google Ads để phát tán phần mềm độc hại, có thể tin rằng mục tiêu chỉ giới hạn ở bất kỳ ai đang tìm kiếm phần mềm WinSCP”.

“Khóa địa lý được sử dụng trên trang web lưu trữ phần mềm độc hại cho thấy những người ở Hoa Kỳ là nạn nhân của cuộc tấn công này.”

Đây không phải là lần đầu tiên Quảng cáo tìm kiếm động của Google bị lạm dụng để phát tán phần mềm độc hại. Cuối tháng trước, Malwarebytes đã vạch trần một chiến dịch nhắm mục tiêu vào người dùng đang tìm kiếm PyCharm với các liên kết đến một trang web bị tấn công lưu trữ trình cài đặt giả mạo, mở đường cho việc triển khai phần mềm độc hại đánh cắp thông tin.

Quảng cáo độc hại đã trở nên phổ biến đối với tội phạm mạng trong vài năm qua, với nhiều chiến dịch phần mềm độc hại sử dụng chiến thuật tấn công này trong những tháng gần đây.

Sự gia tăng các chiến dịch đọc lướt thẻ tín dụng vào tháng 10 năm 2023, ước tính đã xâm phạm hàng trăm trang web thương mại điện tử nhằm mục đích đánh cắp thông tin tài chính bằng cách đưa vào các trang thanh toán giả mạo đầy thuyết phục.

Hương – TheHackerNews

​