Google AdWords ingezet voor verspreiding van malafide Chrome webbrowser
Cybercriminelen blijken Google AdWords te hebben misbruikt om een malvertising campagne op te zetten. De campagne was gericht op zowel Windows als macOS gebruikers, maar trof door een technische fout aan de kant van de aanvaller uiteindelijk alleen macOS gebruikers.
De aanval is ontdekt door het beveiligingsbedrijf Cylance. In een blogpost beschrijft Jeffrey Tang, Executive Mischief Consultant bij Cylance hoe aanvallers een Google AdWords campagne hebben ingezet in een poging een malafide installatiebestand voor de webbrowser Google Chrome aan de man te brengen. Dit bestand is geïdentificeerd als 'OSX/InstallMiez' of ’OSX/InstallCore’.
Gebruikers ongemerkt doorverwijzen
De malware wordt aangeboden via een advertentie die wordt getoond zodra gebruikers via Google zoeken naar ‘Google Chrome’ op de zoekmachine Google.com. Deze advertentie lijkt te wijzen naar ‘www.google.com/chrome'. Wie echter op de link klikt wordt doorgestuurd naar 'www(punt)entrack(punt)space, en vervolgens doorgestuurd naar 'googlechromelive(punt)com’. Op deze pagina wordt het malafide installatiebestand aangeboden.
De aanval is moeilijk door gebruikers te herkennen. Ook als gebruikers hun muis boven de URL laten zweven wordt in de linker onderhoek van de webbrowser ‘www.google.com/chrome' getoond. Tang merkt op dat een zoekopdracht op het woord ‘Chrome’ een vergelijkbare advertentie oplevert, die wel naar de legitieme webpagina van de webbrowser Chrome verwijst.
macOS
Zodra gebruikers zijn aangekomen op de malafide downloadpagina 'googlechromelive(punt)com’ worden zij afhankelijk van hun besturingssysteem op verschillende manieren doorverwezen. macOS gebruikers worden doorverwezen via 'ttb(punt)mysofteir(punt)com', 'servextrx(punt)com' en 'www(punt)bundlesconceptssend(punt)com', waarna het malafide bestand FLVPlayer.dmg wordt gedownload. Tang wijst erop dat de malware hash van dit bestand continu veranderd, wat het detecteren van de malware bemoeilijkt.
Windows gebruikers hebben meer geluk. De cybercriminelen verwijzen Windows gebruikers door naar 'admin(punt)myfilessoft(punt)com’. Deze webpagina geeft echter een DNS foutmelding, waardoor gebruikers uiteindelijk geen malware voorgeschoteld krijgen.
Meer over
Lees ook
De speciale exploitatiecyclus van TA422: week na week hetzelfde
Proofpoint onderzoekers zagen vanaf eind maart 2023 dat de Russische Advanced Persistent Threat (APT) TA422 gemakkelijk gepatchte kwetsbaarheden gebruikte om verschillende organisaties in Europe en Noord-Amerika aan te vallen. TA422 overlapt met de aliassen APT28, Forest Blizzard, Pawn Storm, Fancy Bear en Blue Delta. De Amerikaanse inlichtingsdie1
Fortinet waarschuwt voor online feestdagen-criminaliteit: vier veelgebruikte scams
Security leverancier Fortinet waarschuwt voor feestdagen-cyberscams en geeft een top 4 van veel gebruikte online-oplichtpraktijken. Sinterklaas en kerst komen eraan, en cybercriminelen zijn al druk bezig met het bedenken van slimme trucs waarmee ze dit winkelseizoen zelfs de meest beveiligingsbewuste consumenten om de tuin kunnen leiden. De feestd1
Onderzoek Proofpoint: TA571 levert IcedID Forked Loader
Onderzoekers van Proofpoint ontdekten dat TA571 de Forked-variant van IcedID levert in twee campagnes. Dit vond plaats op 11 en 18 oktober 2023. Beide campagnes bevatten meer dan 6.000 berichten die allemaal een impact hadden op meer dan 1.200 klanten in verschillende sectoren verspreid over heel de wereld.