ESET обнаружила распространение вредоносных файлов с помощью платформы «Яндекс.Директ»

2019-05-06 9:05
ESET обнаружила распространение вредоносных файлов с помощью платформы «Яндекс.Директ»

Международная антивирусная компания ESET сообщает о кибератаке, нацеленной на российские компании — в частности, на их финансовые и юридические подразделения. Под видом деловой документации жертвы скачивали шифраторы и банковские трояны на сайте, который продвигался через размещенные злоумышленниками рекламные баннеры.

Схема заражения выглядела следующим образом: потенциальная жертва искала образцы деловых документов или обучающие видео по ключевым словам — например, «скачать бланк счета», «бланк договора», «заявление жалоба образец», «судебное ходатайство образец».

Через баннерную рекламу киберпреступников жертва попадала на сайт, который якобы содержал шаблоны искомых документов. Запуск файлов, загруженных с этого сайта, мог привести к заражению системы — или целой корпоративной сети — шифраторами и банковскими троянами.

На данный сайт пользователь попадал через легитимные порталы, включая специализированные бухгалтерские и юридические сайты. Используя платформу Яндекс.Директ, злоумышленники размещали на них рекламные баннеры.

Экспертам ESET удалось обнаружить целый ряд опасных киберугроз, которые распространялись таким образом. Все вредоносные файлы размещались в двух разных репозиториях GitHub, веб-сервиса для хостинга и совместной разработки ИТ-проектов.

Так, в октябре-декабре 2018 года злоумышленники «рекламировали» программу для кражи криптовалюты Win32/ClipBanker, которая отслеживает содержимое буфера обмена и ищет адреса криптовалютных кошельков практически всех популярных криптовалют — Bitcoin, Bitcoin Сash, Dogecoin, Ethereum и Ripple. Найдя искомые адреса, киберпреступники подменяли их своими.

Разновидность этой угрозы, программа MSIL/ClipBanker.IH также нацелена на поиск и подмену криптовалютных кошельков. Помимо этого программа потенциально угрожает пользователям торговой площадки игрового сервиса Steam.

Также ESET удалось обнаружить следы банковского трояна Android/Spy.Banker. Его вредоносный функционал весьма обширен: предоставление доступа к микрофону, перехват введенного с клавиатуры текста, отправка спама, шифрование файлов с требованием выкупа, создание скриншотов экрана.

В марте текущего года по аналогичной схеме распространялся еще один банковский троян, Win32/RTM — он нацелен на системы дистанционного банковского обслуживания. ESET подробно описала его в 2017 году. С тех пор ключевых изменений троян не претерпел.

Наконец, через рекламные объявления распространялась и программа-вымогатель Win32/Filecoder.Buhtrap, нацеленная на бухгалтеров и юристов. После запуска этой киберугрозы файлы на локальных дисках и сетевых ресурсах шифровались закрытыми ключами, уникальными для каждого шифруемого файла.

Затем пользователь получал сообщение с требованием заплатить выкуп; средством связи с вымогателями выступали электронная почта или мессенджер Bitmessage.

После обнаружения вредоносной кампании специалисты ESET оперативно связались с компанией «Яндекс». В настоящее время рекламные баннеры киберпреступников заблокированы.

iluki.ru