Des d\u00e9tails ont \u00e9t\u00e9 r\u00e9v\u00e9l\u00e9s sur une campagne de publicit\u00e9 malveillante qui exploite Google Ads pour diriger les utilisateurs recherchant des logiciels populaires vers des pages de destination fictives et distribuer les charges utiles de l’\u00e9tape suivante.<\/p>\n
Malwarebytes, qui a d\u00e9couvert l’activit\u00e9, dit<\/a> il est \u00ab unique dans sa mani\u00e8re de prendre les empreintes digitales des utilisateurs et de distribuer des charges utiles sensibles au temps \u00bb.<\/p>\n L’attaque cible les utilisateurs recherchant des convertisseurs Notepad++ et PDF pour diffuser de fausses publicit\u00e9s sur la page de r\u00e9sultats de recherche Google qui, lorsqu’ils sont cliqu\u00e9s, filtrent les robots et autres adresses IP involontaires en affichant un site leurre.<\/p>\n Si le visiteur est jug\u00e9 int\u00e9ressant pour l’acteur malveillant, la victime est redirig\u00e9e vers une r\u00e9plique de site Web annon\u00e7ant le logiciel, tout en prenant silencieusement les empreintes digitales du syst\u00e8me pour d\u00e9terminer si la demande provient d’une machine virtuelle.<\/p>\n Les utilisateurs qui \u00e9chouent \u00e0 la v\u00e9rification sont redirig\u00e9s vers le site Web l\u00e9gitime Notepad++, tandis qu’une cible potentielle se voit attribuer un identifiant unique \u00e0 \u00ab des fins de suivi mais aussi pour rendre chaque t\u00e9l\u00e9chargement unique et sensible au temps \u00bb.<\/p>\n Le malware de derni\u00e8re \u00e9tape est une charge utile HTA qui \u00e9tablit une connexion \u00e0 un domaine distant (\u00ab mybigeye[.]icu”) sur un port personnalis\u00e9 et diffuse des logiciels malveillants ult\u00e9rieurs.<\/p>\n “Les auteurs de menaces appliquent avec succ\u00e8s des techniques d’\u00e9vasion qui contournent les contr\u00f4les de v\u00e9rification des publicit\u00e9s et leur permettent de cibler certains types de victimes”, a d\u00e9clar\u00e9 J\u00e9r\u00f4me Segura, directeur du renseignement sur les menaces.<\/p>\n \u00ab\u00a0Avec une cha\u00eene de diffusion de malware fiable en main, les acteurs malveillants peuvent se concentrer sur l’am\u00e9lioration de leurs pages leurres et cr\u00e9er des charges utiles de malware personnalis\u00e9es.\u00a0\u00bb<\/p>\n La divulgation chevauche une campagne similaire qui cible les utilisateurs recherchant le gestionnaire de mots de passe KeePass avec des publicit\u00e9s malveillantes qui dirigent les victimes vers un domaine utilisant Code Puny<\/a> (garder passe[.]info vs \u0137eepass[.]info), un encodage sp\u00e9cial utilis\u00e9 pour convertir les caract\u00e8res Unicode en ASCII.<\/p>\n “Les personnes qui cliquent sur l’annonce seront redirig\u00e9es via un service de masquage destin\u00e9 \u00e0 filtrer les bacs \u00e0 sable, les robots et toute personne non consid\u00e9r\u00e9e comme une v\u00e9ritable victime”, a d\u00e9clar\u00e9 Segura. not\u00e9<\/a>. “Les auteurs de la menace ont cr\u00e9\u00e9 un domaine temporaire sur keepastacking[.]site qui effectue la redirection conditionnelle vers la destination finale.”<\/p>\n Les utilisateurs qui atterrissent sur le site leurre sont amen\u00e9s \u00e0 t\u00e9l\u00e9charger un programme d’installation malveillant qui conduit finalement \u00e0 l’ex\u00e9cution de FakeBat (alias EugenLoader), un chargeur con\u00e7u pour t\u00e9l\u00e9charger d’autres codes malveillants.<\/p>\n L’abus de Punycode n’est pas enti\u00e8rement nouveau, mais le combiner avec des publicit\u00e9s malveillantes de Google est le signe que la publicit\u00e9 malveillante via les moteurs de recherche devient de plus en plus sophistiqu\u00e9e. En utilisant Punycode pour enregistrer des noms de domaine similaires en tant que site l\u00e9gitime, l’objectif est de r\u00e9aliser un attaque d’homographe<\/a> et inciter les victimes \u00e0 installer des logiciels malveillants.<\/p>\n “Bien que le Punycode avec des noms de domaine internationalis\u00e9s soit utilis\u00e9 depuis des ann\u00e9es par des acteurs malveillants contre les victimes de phishing, il montre \u00e0 quel point il reste efficace dans le contexte de l’usurpation d’identit\u00e9 de marque via la publicit\u00e9 malveillante”, a d\u00e9clar\u00e9 Segura.<\/p>\n En parlant de supercherie visuelle, plusieurs acteurs de la menace \u2013 TA569 (alias SocGholish), RogueRaticate (FakeSG), ZPHP (SmartApeSG), ClearFake et EtherHiding \u2013 ont \u00e9t\u00e9 observ\u00e9s profitant de th\u00e8mes li\u00e9s aux fausses mises \u00e0 jour de navigateur pour propager Cobalt Strike, les chargeurs et les voleurs. , et les chevaux de Troie d’acc\u00e8s \u00e0 distance, signe que ces attaques constituent une menace constante et \u00e9volutive.<\/p>\n “Les fausses mises \u00e0 jour du navigateur abusent de la confiance des utilisateurs finaux avec des sites Web compromis et un leurre personnalis\u00e9 pour le navigateur de l’utilisateur pour l\u00e9gitimer la mise \u00e0 jour et inciter les utilisateurs \u00e0 cliquer”, a d\u00e9clar\u00e9 Dusty Miller, chercheur \u00e0 Proofpoint. dit<\/a> dans une analyse publi\u00e9e cette semaine.<\/p>\n “La menace r\u00e9side uniquement dans le navigateur et peut \u00eatre initi\u00e9e par un clic provenant d’un e-mail l\u00e9gitime et attendu, d’un site de r\u00e9seau social, d’une requ\u00eate sur un moteur de recherche ou m\u00eame simplement en naviguant vers le site compromis.”<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/10\/Les-annonceurs-malveillants-utilisent-Google-Ads-pour-cibler-les-utilisateurs.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n