Величезна мережа оплати за встановлення, що ховається на видному місці

Дослідники з кібербезпеки виявили масштабну операцію з оплатою за встановлення (PPI), відповідальну за розповсюдження понад 10 000 різних завантажувачів шкідливого програмного забезпечення. Кампанія покладалася на дві знайомі, але незмінно ефективні тактики: ігрові канали на YouTube, які використовувалися для просування зламаного програмного забезпечення та читів, і результати пошуку, отруєні SEO, покликані просунути шкідливі сторінки завантаження вище законних. Разом ці методи дозволили операторам спрямовувати стабільний потік жертв до інфікованих інсталяторів у великих масштабах.

Схеми оплати за встановлення працюють як партнерська маркетингова модель для кіберзлочинців. Розповсюджувачі отримують оплату залежно від того, скільки машин їм вдалося успішно інфікувати, а фактичне шкідливе навантаження часто визначається пізніше тим, хто купує доступ. Ця структура пояснює, чому ця операція могла створити такий великий обсяг унікальних завантажувачів. Кожен із них — це трохи змінений обгортка, розроблена для обходу антивірусних сигнатур, яка зрештою підключається до інфраструктури, що вирішує, що встановлювати далі: викрадачі інформації, трояни віддаленого доступу, криптомайнери або інше шкідливе програмне забезпечення залежно від покупця.

Чому YouTube і результати пошуку є головними цілями

Ігровий контент є особливо привабливою приманкою. Відео, що рекламують «безкоштовні» версії платних ігор, інструменти для читів або зломи програмного забезпечення, зазвичай містять посилання в описі, які ведуть на сайти файлового хостингу або підроблені портали завантаження. Глядачі, які шукають швидкий шлях, схильні клікати без особливої перевірки, особливо коли канал має велику кількість підписників або переконливу якість виробництва.

SEO-отруєння працює подібним чином, але через пошукові системи, а не відеоплатформи. Зловмисники створюють або компрометують веб-сайти та наповнюють їх ключовими словами, пов'язаними з назвами популярного програмного забезпечення, оновленнями драйверів або інструментами продуктивності. Коли вони достатньо добре ранжуються, ці сторінки з'являються поруч або навіть вище офіційних джерел завантаження, обманюючи користувачів, які припускають, що найвищий результат пошуку автоматично заслуговує на довіру. Ця техніка також з'являлася в інших великомасштабних шахрайствах. Пов'язана кампанія, описана в нашому звіті про 11 000 фальшивих державних сайтів, націлених на громадян у всьому світі, показує, як зловмисники використовують sheer volume та переконливий брендинг, щоб подолати здатність жертви відрізнити справжнє від фальшивого, незалежно від того, чи це державний портал, чи сторінка завантаження програмного забезпечення.

Що робить цю операцію PPI помітною, так це масштаб, а не новизна. Розповсюдження шкідливого програмного забезпечення на основі завантажувачів і SEO-отруєння є усталеними техніками, але генерація понад 10 000 унікальних варіантів завантажувачів вказує на високоавтоматизований конвеєр виробництва, створений спеціально для обходу інструментів виявлення, які покладаються на відомі сигнатури шкідливого програмного забезпечення.

Реальна ціна «безкоштовного» завантаження

Легко відмахнутися від зламаного програмного забезпечення та інструментів для читів як від нішевого ризику, але аудиторія завантажень, пов'язаних з іграми, величезна, і саме тому це було обрано каналом розповсюдження. Після запуску завантажувача негайно встановлене шкідливе програмне забезпечення часто є лише початком. Оскільки мережі PPI не залежать від корисного навантаження, інфікований пристрій може бути перепрофільований через тижні або місяці для абсолютно іншого типу атаки, включаючи крадіжку облікових даних, підготовку до програм-вимагачів або зарахування до ботнету.

Це посилюється тим фактом, що багато з цих інструментів вимагають вимкнення антивірусного захисту або запуску з підвищеними дозволами, щоб «працювати», що саме по собі є серйозним попереджувальним знаком, що завантажений файл не є тим, за що він себе видає.

Що це означає для вас

Якщо ви регулярно завантажуєте ігрові моди, зламане програмне забезпечення, чит-рушії або «безкоштовні» версії платних додатків, ця кампанія — пряме нагадування, що ризик не є гіпотетичним. Рейтинги в пошуку та популярність відео не є надійними індикаторами безпеки. Канал з тисячами підписників або веб-сайт, що знаходиться близько до вершини результатів пошуку, все ще може бути частиною конвеєра розповсюдження шкідливого програмного забезпечення, особливо коли контент обіцяє щось, що зазвичай коштує грошей.

Найбезпечніший підхід — ставитися до будь-якого завантаження програмного забезпечення поза офіційним магазином додатків, веб-сайтом розробника або перевіреною платформою як до підозрілого за замовчуванням. Перед встановленням чогось уважно перевірте вихідну URL-адресу, шукайте невідповідний брендинг або незвичайні розширення файлів, і будьте обережні з інсталяторами, які просять вас вимкнути захисне програмне забезпечення як передумову.

Практичні висновки

  • Завантажуйте програмне забезпечення лише з офіційних сайтів постачальників або перевірених платформ, таких як Steam, офіційні магазини додатків або перевірені сторінки розробників.
  • Уникайте інсталяторів, які просуваються через описи відео, розділи коментарів або результати пошуку, що обіцяють зламане або піратське програмне забезпечення.
  • Тримайте антивірусний захист і захист кінцевих точок активними весь час; ніколи не вимикайте їх, щоб «змусити програму працювати».
  • Використовуйте надійний VPN разом із інструментами безпеки, щоб обмежити вплив у публічних мережах, хоча лише VPN не зупинить вас від встановлення шкідливого програмного забезпечення, яке ви завантажуєте добровільно.
  • Регулярно оновлюйте браузер і операційну систему, щоб зменшити ймовірність того, що шкідлива сторінка може використати невиправлені вразливості.
  • Якщо ви нещодавно встановили зламане програмне забезпечення або інструменти для читів, запустіть повне сканування системи та стежте за незвичайною активністю облікового запису як запобіжний захід.

Кампанії, подібні до цієї, показують, що розповсюдження шкідливого програмного забезпечення за моделлю оплати за встановлення залишається стійкою бізнес-моделлю саме тому, що воно експлуатує звичайну споживчу поведінку, а не складні технічні вразливості. Залишатися скептичними щодо «безкоштовних» завантажень, перевіряти джерела перед встановленням чогось і підтримувати активність інструментів безпеки — це досі найефективніший захист, доступний звичайним користувачам.