Yeni bir Google Search Malverting kampanyası, popüler Notepad ++ metin düzenleyicisini indirmek isteyen kullanıcıları hedefler ve tespit ve analizden kaçınmak için gelişmiş teknikler kullanır.
Tehdit aktörleri, kötü amaçlı yazılım dağıtan sahte yazılım web sitelerini tanıtmak için kötü niyetli kampanyalardaki Google reklamlarını giderek daha fazla kötüye kullanıyor.
Notepad ++ kötü niyetli kampanyayı tespit eden MalwareBebytes'e göre, birkaç aydır yaşıyor, ancak bu süre boyunca radarın altında uçmayı başardı.
Mağdurlara teslim edilen son yük bilinmemektedir, ancak MalwareBebytes büyük olasılıkla kobalt grevi olduğunu söylüyor, bu da genellikle son derece zarar verici fidye yazılımı dağıtımlarından önce geliyor.
Notepad ++ Malverting kampanyası, yazılım projesiyle açıkça ilgisi olmayan ancak Google Arama Sonuç Reklamlarında görüntülenen yanıltıcı başlıkları kullanan URL'leri teşvik eder.
Bu SEO stratejisi bu durumda büyük ölçüde istismar edilmektedir ve başlıklar URL'lerden çok daha büyük ve daha görünür olduğundan, birçok insanın tuzağa düşmesi muhtemeldir.
Mağdurlar reklamlardan herhangi birini tıkladıktan sonra, bir yönlendirme adımı, IP'lerini tarayıcı, VPN, bot vb. Olması muhtemel kullanıcıları filtrelemek için kontrol ederek, kötü niyetli bir şey bırakmayan bir tuzak sitesine götürür.
Buna karşılık, meşru hedefler, metin düzenleyicisinin çeşitli sürümleri için indirme bağlantıları içeren gerçek Notepad ++ sitesini taklit eden "Notepadxtreme [.] Com" olarak yönlendirilir.
Ziyaretçiler bu bağlantılara tıkladıklarında, ziyaretçinin bir sanal alan kullandığına dair anomali veya göstergenin olmadığını doğrulamak için bir JavaScript snippet'i tarafından ikinci bir sistem parmak izi kontrolü gerçekleştirilir.
Daha sonra uygun hedefler olarak işaretlenen kurbanlara, saldırganların enfeksiyonlarını izlemelerini sağlayacak benzersiz bir kimlik atanan bir HTA senaryosu sunulur. Bu yük mağdur başına sadece bir kez sunulur, bu nedenle ikinci bir ziyaret 404 hatasıyla sonuçlanır.
Malwarebebytes'in HTA incelemesi, o sırada silahlandırılmaması nedeniyle yararlı bilgiler üretmedi, ancak analistler aynı dosyayı Temmuz ayından itibaren bir Virustotal yüklemede buldular.
Bu dosya, özel bir bağlantı noktasındaki uzak bir etki alanına bağlanmaya çalıştı ve araştırmacılar bunun bir kobalt grev dağıtımının bir parçası olduğuna inanıyordu.
Belirli yazılım araçlarını ararken kötü amaçlı yazılım indirmekten kaçınmak için, Google aramasında ve resmi etki alanına indiğiniz çift kontrolü tanıtan sonuçları atlayın.
Projenin gerçek web sitesi hakkında emin değilseniz, "Hakkında" sayfası, dokümantasyon, Wikipedia sayfası ve resmi sosyal medya kanallarını kontrol edin.
Sahte Cisco Webex Google Ads Kötüye Kullanım İzleme Şablonları Kötü Yazılımları İtmek İçin
Sneaky Amazon Google Reklam Microsoft Destek Scam'e yol açar
Google Play Protect, Android kötü amaçlı yazılımlarla savaşmak için gerçek zamanlı tarama ekliyor
Google, Passkeys'i kişisel hesaplar için varsayılan oturum açıyor
Google, tüm hesaplarda parola vermeden oturum açma desteği ekler
Kaynak: Bleeping Computer