Кибератака через рекламные баннеры
Компания ESET сообщила о кибератаке, нацеленной на российские компании, в частности, на их финансовые и юридические подразделения. В поисках деловой документации их сотрудники скачивали шифраторы и банковские троянцы на сайте, который злоумышленники продвигали, размещая рекламные баннеры.
Схема заражения была следующей: потенциальная жертва искала образцы деловых документов или обучающие видео по ключевым словам, к примеру, «скачать бланк счета», «бланк договора», «заявление жалоба образец», «судебное ходатайство образец». Через баннерную рекламу жертва попадала на сайт, который якобы содержал шаблоны искомых документов. Запуск файлов, загруженных с этого сайта, мог привести к заражению системы или всей корпоративной сети шифраторами и банковскими троянцами.
На сайт злоумышленников пользователь попадал через легитимные порталы, включая специализированные бухгалтерские и юридические сайты. Используя платформу «Яндекс.Директ», злоумышленники размещали на них рекламные баннеры. Эксперты ESET обнаружили целый ряд киберугроз, которые распространялись таким образом. Вредоносные файлы размещались в двух разных репозиториях GitHub, веб-сервиса для хостинга и совместной разработки ИТ-проектов.
Так, в октябре-декабре 2018 г. злоумышленники «рекламировали» программу для кражи криптовалюты Win32/ClipBanker, которая отслеживает содержимое буфера обмена и ищет адреса криптовалютных кошельков практически всех популярных криптовалют – Bitcoin, Bitcoin Сash, Dogecoin, Ethereum и Ripple. Найдя искомые адреса, киберпреступники подменяли их своими. Разновидность этой угрозы, программа MSIL/ClipBanker.IH также нацелена на поиск и подмену криптовалютных кошельков. Кроме того, программа представляет собой угрозу пользователям торговой площадки игрового сервиса Steam.
В ESET также обнаружили следы банковского троянца Android/Spy.Banker. Его вредоносный функционал включает предоставление доступа к микрофону, перехват введенного с клавиатуры текста, отправку спама, шифрование файлов с требованием выкупа, создание скриншотов экрана.
В марте текущего года по аналогичной схеме распространялся еще один банковский троянец, Win32/RTM, нацеленный на системы дистанционного банковского обслуживания.
Наконец, через рекламные объявления распространялась и программа-вымогатель Win32/Filecoder.Buhtrap, нацеленная на бухгалтеров и юристов. После запуска этой киберугрозы файлы на локальных дисках и сетевых ресурсах шифровались закрытыми ключами, уникальными для каждого шифруемого файла. Затем пользователь получал сообщение с требованием заплатить выкуп; средством связи с вымогателями выступали электронная почта или мессенджер Bitmessage.
После обнаружения вредоносной кампании специалисты ESET связались с компанией «Яндекс», через платформу которой размещались рекламные баннеры, и они были заблокированы. Как отмечают в ESET, эта кампания – хороший пример того, как легитимные рекламные сервисы используются злоумышленниками для распространения вредоносных программ; аналогичные схемы вполне могут быть реализованы не только через российские рекламные платформы.