Egy hatalmas pay-per-install hálózat, amely szem előtt rejtőzik

Biztonsági kutatók egy szerteágazó pay-per-install (PPI) műveletre bukkantak, amely több mint 10 000 különböző kártevőbetöltő terjesztéséért felelős. A kampány két ismerős, de makacsul hatékony taktikára támaszkodott: YouTube-os játékcsatornákra, amelyeket feltört szoftverek és csalókódok népszerűsítésére használtak, valamint SEO-mérgezett keresési találatokra, amelyek a rosszindulatú letöltési oldalakat a legitim oldalak fölé tolták. Együtt ezek a módszerek lehetővé tették az üzemeltetők számára, hogy folyamatos áldozatáramlást irányítsanak a fertőzött telepítők felé, nagy léptékben.

A pay-per-install rendszerek úgy működnek, mint a kiberbűnözők affiliate marketing modellje. A terjesztők az alapján kapnak fizetést, hogy hány gépet fertőztek meg sikeresen, és a tényleges kártevő hasznos terhelést gyakran később dönti el az, aki hozzáférést vásárol. Ez a struktúra magyarázza, hogy ez a művelet miért tudott ilyen nagy mennyiségű egyedi betöltőt előállítani. Mindegyik egy kissé módosított burkoló, amelyet arra terveztek, hogy átcsússzon az antivírus-aláírások mellett, miközben végül olyan infrastruktúrához kapcsolódik, amely eldönti, mi települjön legközelebb: adatlopók, távoli hozzáférésű trójaiak, kriptobányászók vagy más kártevők, a vásárlótól függően.

Miért kiemelt célpontok a YouTube és a keresési találatok

A játékos tartalom különösen vonzó csali. A fizetős játékok „ingyenes” verzióit, csalókódokat vagy szoftverfeltöréseket hirdető videók rutinszerűen tartalmaznak a leírásban olyan linkeket, amelyek fájlmegosztó oldalakra vagy hamis letöltési portálokra mutatnak. A nézők, akik gyors megoldást keresnek, hajlamosak alapos vizsgálat nélkül kattintani, különösen akkor, ha a csatornának nagy feliratkozószáma vagy meggyőző gyártási színvonala van.

A SEO-mérgezés hasonló módon működik, de a keresőmotorokon keresztül, nem videóplatformokon. A támadók weboldalakat építenek vagy törnek fel, és megtöltik azokat népszerű szoftvernevekhez, illesztőprogram-frissítésekhez vagy produktivitási eszközökhöz kapcsolódó kulcsszavakkal. Amikor elég jól rangsorolódnak, ezek az oldalak a hivatalos letöltési források mellett vagy akár azok felett jelennek meg, megtévesztve azokat a felhasználókat, akik azt feltételezik, hogy egy legfelső keresési találat automatikusan megbízható. Ez a technika más nagyszabású csalásokban is megjelent. Egy kapcsolódó kampány, amelyet a 11 000 hamis kormányzati oldal, amely világszerte állampolgárokat céloz című jelentésünkben részletezünk, megmutatja, hogyan használják a támadók a puszta mennyiséget és a meggyőző arculatot arra, hogy felülmúlják az áldozat azon képességét, hogy megkülönböztesse a valódit a hamistól, legyen a célpont kormányzati portál vagy szoftverletöltési oldal.

Ami ezt a PPI-műveletet figyelemre méltóvá teszi, az a lépték, nem az újszerűség. A betöltőalapú kártevő-terjesztés és a SEO-mérgezés bevált technikák, de több mint 10 000 egyedi betöltőváltozat előállítása egy erősen automatizált gyártósorra utal, amelyet kifejezetten az ismert kártevő-aláírásokra támaszkodó észlelési eszközök kijátszására építettek.

Egy „ingyenes” letöltés valódi költsége

Könnyű a feltört szoftvereket és csalókódokat rétegkockázatként elutasítani, de a játékokhoz kapcsolódó letöltések közönsége hatalmas, és pontosan ezért választották terjesztési csatornaként. Amint egy betöltő lefut, a azonnal telepített kártevő gyakran csak a kezdet. Mivel a PPI-hálózatok hasznos terhelés szempontjából agnosztikusak, egy fertőzött eszközt hetekkel vagy hónapokkal később egy teljesen más típusú támadásra lehet újra felhasználni, beleértve a hitelesítő adatok ellopását, a zsarolóvírus előkészítését vagy egy botnetbe való besorolást.

Ezt súlyosbítja, hogy ezen eszközök közül sok megköveteli az antivírus védelem letiltását vagy emelt szintű jogosultságokkal való futtatást ahhoz, hogy „működjön”, ami önmagában is komoly figyelmeztető jel, hogy a letöltött fájl nem az, aminek mondja magát.

Mit jelent ez Önnek

Ha rendszeresen tölt le játékmódokat, feltört szoftvereket, csalómotorokat vagy fizetős alkalmazások „ingyenes” verzióit, ez a kampány közvetlen emlékeztető arra, hogy a kockázat nem hipotetikus. A keresési rangsorok és a videók népszerűsége nem megbízható biztonsági mutatók. Egy több ezer feliratkozóval rendelkező csatorna vagy egy keresési találat közelében a csúcson lévő weboldal továbbra is egy kártevő-terjesztési folyamat része lehet, különösen akkor, ha a tartalom valami olyat ígér, ami általában pénzbe kerül.

A legbiztonságosabb megközelítés az, hogy minden szoftverletöltést egy hivatalos alkalmazásbolton, fejlesztői weboldalon vagy ellenőrzött platformon kívül alapértelmezés szerint gyanúsnak tekintsen. Mielőtt bármit telepítene, gondosan ellenőrizze a forrás URL-jét, keresse a nem egyező arculatot vagy szokatlan fájlkiterjesztéseket, és legyen óvatos azokkal a telepítőkkel szemben, amelyek előfeltételként kérik a biztonsági szoftver letiltását.

Cselekvésre ösztönző tanulságok

  • Szoftvert csak hivatalos szállítói oldalakról vagy elismert platformokról töltsön le, mint a Steam, a hivatalos alkalmazásboltok vagy az ellenőrzött fejlesztői oldalak.
  • Kerülje a videóleírásokon, hozzászólásokban vagy keresési találatokon keresztül népszerűsített telepítőket, amelyek feltört vagy kalózkodott szoftvert ígérnek.
  • Tartsa az antivírust és a végpontvédelmet mindig aktívan; soha ne tiltsa le, hogy „működjön egy program”.
  • Használjon jó hírű VPN-t a biztonsági eszközök mellett, hogy korlátozza a nyilvános hálózatokon való kitettséget, bár a VPN önmagában nem akadályozza meg abban, hogy önként letöltött kártevőt telepítsen.
  • Rendszeresen frissítse böngészőjét és operációs rendszerét, hogy csökkentse annak esélyét, hogy egy rosszindulatú oldal kihasználhassa a javítatlan sebezhetőségeket.
  • Ha nemrég feltört szoftvert vagy csalókódokat telepített, futtasson teljes rendszerellenőrzést, és óvintézkedésként figyelje a szokatlan fióktevékenységet.

Az ehhez hasonló kampányok megmutatják, hogy a pay-per-install kártevő-terjesztés pontosan azért marad tartós üzleti modell, mert a hétköznapi fogyasztói viselkedést használja ki, nem pedig kifinomult technikai sebezhetőségeket. Maradjon szkeptikus az „ingyenes” letöltésekkel szemben, ellenőrizze a forrásokat, mielőtt bármit telepít, és tartsa aktívan a biztonsági eszközöket – ezek továbbra is a hétköznapi felhasználók számára elérhető leghatékonyabb védekezések.