Usuários do Google Ads Segmentados em Malvertising Scam Stealing Credentials e Códigos 2FA
Pesquisadores de segurança cibernética alertaram para uma nova campanha de publicidade maliciosa que está segmentando indivíduos e empresas que anunciam via Google Ads, tentando phish para suas credenciais através de anúncios fraudulentos no Google.
“O esquema consiste em roubar o maior número possível de contas de anunciantes, personificando o Google Ads e redirecionando as vítimas para páginas de login falsas”, disse Jérondome Segura, diretor sênior de inteligência de ameaças da Malwarebytes disse em um relatório compartilhado com o The Hacker News.
Suspeita-se que o objetivo final da campanha seja reutilizar as credenciais roubadas para perpetuar ainda mais as campanhas, além de vendê-las a outros atores criminosos em fóruns clandestinos. Baseado em posts compartilhado em Reddit Bluesky, e do próprio Google fóruns de suporte, a ameaça está ativa desde pelo menos meados de novembro de 2024.
O cluster de atividades é muito semelhante a campanhas isso aproveita o malware do ladrão para roubar dados relacionados à publicidade do Facebook e contas de negócios, a fim de sequestrá-los e usar as contas para campanhas de publicidade maliciosa que propagam ainda mais o malware.
A campanha recém-identificada destaca especificamente os usuários que pesquisam o Google Ads no próprio mecanismo de pesquisa do Google para veicular anúncios falsos para o Google Ads que, quando clicados, redirecionam os usuários para sites fraudulentos hospedados no Google Sites.
Esses sites servem como páginas de destino para levar os visitantes a sites de phishing externos projetados para capturar suas credenciais e códigos de autenticação de dois fatores (2FA) por meio de um WebSocket e exfiltrados para um servidor remoto sob o controle do invasor.
“Os anúncios falsos para o Google Ads vêm de uma variedade de indivíduos e empresas (incluindo um aeroporto regional), em vários locais”, disse Segura. “Algumas dessas contas já tinham centenas de outros anúncios legítimos em execução.”
Um aspecto engenhoso da campanha é que ela aproveita o fato de que o Google Ads não requer o URL final – a página web que os utilizadores alcançam quando clicam no anúncio – para ser o mesmo que o URL de visualização, desde que os domínios correspondam.
Isso permite que os agentes de ameaças hospedem suas páginas de destino intermediárias em sites.google[.]com, mantendo os URLs de exibição como ads.google[.]com. Além disso, o modus operandi envolve o uso de técnicas como impressões digitais, detecção de tráfego anti-bot, uma isca inspirada no CAPTCHA, camuflagem e ofuscação para ocultar a infraestrutura de phishing.
A Malwarebytes disse que as credenciais coletadas são posteriormente abusadas para entrar na conta do Google Ads da vítima, adicionar um novo administrador e utilizar seus orçamentos de gastos para anúncios falsos do Google.
Em outras palavras, os agentes de ameaças estão assumindo as contas do Google Ads para enviar seus próprios anúncios, a fim de adicionar novas vítimas a um grupo crescente de contas invadidas que são usadas para perpetuar ainda mais o golpe.
“Parece haver vários indivíduos ou grupos por trás dessas campanhas”, disse Segura. “Notavelmente, a maioria deles são falantes de português e provavelmente operam fora do Brasil. A infraestrutura de phishing depende de domínios intermediários com o domínio de topo (TLD) .pt, indicativo de Portugal.”
“Esta atividade de anúncio malicioso não viola Regras de anúncios do google. Os agentes de ameaças podem exibir URLs fraudulentos em seus anúncios, tornando-os indistinguíveis de sites legítimos. O Google ainda não mostrou que toma medidas definitivas para congelar essas contas até que sua segurança seja restaurada.”
A divulgação ocorre quando a Trend Micro revelou que os invasores estão usando plataformas como YouTube e SoundCloud para distribuir links para instaladores falsos para versões piratas de software popular que, em última análise, levam à implantação de várias famílias de malware, como Amadey, Lumma Stealer, Mars Stealer, Penguish, PrivateLoader e Vidar Stealer.
“Os agentes de ameaças costumam usar serviços de hospedagem de arquivos respeitáveis, como o Mediafire e o Mega.nz, para ocultar a origem de seu malware e dificultar a detecção e a remoção”, diz a empresa disse. “Muitos downloads maliciosos são protegidos por senha e codificados, o que complica a análise em ambientes de segurança, como sandboxes e permite que o malware evite a detecção precoce.”
Fonte: https://thehackernews.com/