Вредонос BATLOADER использует Google Ads для доставки инфостилеров Vidar и Ursnif

[Artifact]

Модераторы всемирно известной корпорации в очередной раз сами открыли путь злоумышленникам.

В прошлом месяце было замечено, что загрузчик вредоносного ПО, известный как BATLOADER, злоупотребляет сервисом контекстной рекламы Google Ads для доставки вторичных полезных нагрузок, таких как Vidar Stealer и Ursnif. По данным компании eSentire, вредоносная реклама используется для подделки широкого спектра законных приложений и сервисов, таких как Adobe, OpenAPI, Spotify, Tableau и Zoom.
BATLOADER, как следует из названия, представляет собой загрузчик, который отвечает за распространение вредоносных программ следующего этапа. Например, похитителей информации, банковских вредоносных программ и даже программы-вымогателей.
Одной из ключевых особенностей BATLOADER является использование тактики имитации программного обеспечения для доставки вредоносных программ. Такой эффект достигается за счёт настройки похожих веб-сайтов, на которых размещаются файлы установщика Windows, маскирующиеся под законные приложения. Это позволяет злоумышленникам запускать последовательность заражения, когда пользователь, ищущий законное программное обеспечение, нажимает на мошенническое объявление на странице результатов поиска Google.
Установочные файлы в формате «.msi» при запуске выполняют сценарии Python, содержащие полезную нагрузку BATLOADER. Затем на компьютер жертвы загружается вредоносное ПО следующего этапа.
Другие образцы BATLOADER, проанализированные специалистами eSentire, содержали дополнительные возможности, позволяющие вредоносным программам закреплять своё постоянство в корпоративных сетях.
«Киберпреступники злоупотребляют рекламной сетью Google, покупая рекламное пространство для популярных ключевых слов и связанных с ними опечаток», — отметила компания Malwarebytes, занимающаяся кибербезопасностью, в июле 2022 года.
«BATLOADER продолжает претерпевать изменения и улучшения с момента своего первого появления в 2022 году. Вредонос намеренно выдаёт себя за другие приложения, которые часто встречаются бизнес-сетях», — заявили в eSentire.