В когтях хакеров: любители кошек стали жертвами изощрённой кибератаки

Компания Sophos раскрыла необычную кибератаку, в которой преступники использовали вредоносное ПО Gootloader для заражения компьютеров любителей бенгальских кошек из Австралии. Gootloader известна с 2014 года и может красть информацию или служить загрузчиком других вирусов, включая программы-вымогатели.

Обычно киберпреступники нацеливаются на крупные компании, банки или влиятельных лиц. Но в этот раз атакующие решили взломать устройства пользователей, интересующихся вопросом: «Законны ли бенгальские кошки в Австралии?». Злоумышленники создали поддельные страницы, специально настроенные так, чтобы они попадали в топ поисковых результатов по этому запросу.

Когда пользователи переходили на такой сайт, им предлагалось скачать ZIP-файл. После открытия архива на компьютер загружалась первая часть вредоносного кода. Затем браузер автоматически перенаправлялся на другой сайт, где загружался большой JavaScript-файл, запускавший целую серию процессов на устройстве.

Среди процессов были признаки того, что злоумышленники пытались закрепиться в системе и передать команды PowerShell для развертывания Gootkit — третьего этапа атаки. Это привело к внедрению дополнительных инструментов, таких как Cobalt Strike и других программ-вымогателей.

Sophos подчеркнула, что Gootloader является частью широкой схемы распространения вредоносных программ как услуги (Malware-as-a-Service, MaaS ), активно использующей результаты поиска для достижения жертв. Тактика SEO-оптимизации и рекламного продвижения на поисковых платформах для загрузки вредоносных файлов не нова. Такие методы с 2020 года популярны среди брокеров начального доступа (Initial Access Broker, IAC) и вымогательских группировок.

Вредоносная реклама, или malvertising ( малвертайзинг ), также остаётся серьёзной проблемой, поскольку она позволяет преступникам распространять вирусы через поддельные рекламные объявления. Google тоже подвергается критике за то, что подобные сайты попадают в результаты поиска, но компания утверждает, что предпринимает меры и удаляет такие ресурсы, когда они обнаруживаются.