Распространение вредоносного ПО через рекламу в Google Ads и YouTube

Недавно специалисты по кибербезопасности Bitdefender обнаружили масштабную вредоносную рекламную кампанию (malvertising), которая изначально была замечена на платформах Meta (Facebook и Instagram), а теперь добралась и до Google Ads с YouTube. Злоумышленники сумели взломать бизнес-аккаунт Facebook, принадлежавший дизайнерскому агентству в Норвегии, и с его помощью разместили по меньшей мере 75 вредоносных рекламных объявлений. В этих объявлениях продвигалось так называемое "TradingView Premium" — заведомо фальшивое приложение, под которое маскировался опасный вредоносный код Brokewell.

Опасность этого приложения заключалась в том, что оно целенаправленно атакует пользователей Android и умеет похищать данные о входе через поддельные экраны, перехватывать куки сессий, отслеживать действия пользователя (нажатия, жесты), собирать информацию о звонках, геолокации, аудиоразговорах и многое другое. В более "продвинутых" версиях вредоносное ПО способно превращаться в полноценный троян для удалённого доступа (RAT), то есть злоумышленник мог полностью контролировать заражённое устройство.

Спустя примерно месяц после первой волны атаки исследователи заметили новую уловку: был взломан легитимный канал YouTube, которому присвоили внешний вид и оформление настоящего аккаунта TradingView. На этот канал загрузили видео с рекламой того же самого поддельного продукта. Чтобы избежать блокировки, ролики были занесены в разряд "доступных только по ссылке" (unlisted), что позволило им остаться вне поля зрения массового пользователя и модераторов как можно дольше. Один из мошеннических роликов собрал более 180 тысяч просмотров всего за несколько дней, что лишний раз иллюстрирует масштабы этой атаки.

Точной информации о том, сколько людей действительно заразило свои устройства, нет. Однако известно, что через YouTube распространялся уже не вирус Brokewell, а особый загрузчик, который впоследствии устанавливал другой вредонос — Trojan.Agent.GOSL (также известный как JSCEAL и WeevilProxy).

Эксперты по безопасности советуют не доверять рекламе, обещающей премиум-версии платных приложений бесплатно. Следует обращать внимание на статус видео (unlisted или нет) и не переходить по сторонним ссылкам на скачивание. Всегда скачивайте программы только с официальных сайтов и сообщайте о подозрительной рекламе в администрацию Google и YouTube.

TradingView — это коммерческая платформа, предназначенная для отслеживания ситуации на финансовых рынках, построения графиков и обмена торговыми идеями. Будьте внимательны, не становитесь жертвой злоумышленников.