Платформа 1Campaign помогает вредоносным объявлениям Google избегать обнаружения.

[admin]

Недавно обнаруженный сервис киберпреступлений, известный как 1Campaign, позволяет злоумышленникам запускать вредоносную рекламу в Google Ads, которая остается в сети в течение длительного времени, избегая при этом проверки со стороны специалистов по информационной безопасности.


1Campaign — это сервис маскировки, который проходит проверку Google и показывает вредоносный контент только реальным потенциальным жертвам. Исследователям в области безопасности и автоматизированным сканерам отображаются безобидные «белые страницы».


Согласно отчету компании Varonis, занимающейся информационной безопасностью, эта операция действует как минимум три года и управляется разработчиком, использующим псевдоним «DuppyMeister».

«Инструмент проходит проверку Google, отфильтровывает исследователей в области безопасности и удерживает фишинговые страницы и страницы, занимающиеся криптомошенничеством, в сети как можно дольше, перенаправляя реальных пользователей на сайты, контролируемые злоумышленниками», — говорят исследователи.


1Campaign предоставляет «клиентам» удобную панель управления, где они могут получить обзор своей деятельности и установить параметры для своих кампаний.

1Панель управления кампанией
Источник: Hero

Платформа может фильтровать посетителей в режиме реального времени, направляя трафик на целевые страницы на основе заранее определенных критериев, включая географическое положение, интернет-провайдера (ISP) и характеристики устройства.

Исследователи утверждают, что такой целенаправленный подход позволяет злоумышленникам сосредоточиться на пользователях в регионах, где фишинговая приманка актуальна, одновременно отфильтровывая трафик из стран с более высокой вероятностью проверок безопасности или сканирования.


В одном из случаев компания Varonis зафиксировала агрессивную фильтрацию, которая заблокировала доступ к вредоносной рекламе у 99,4% из 1676 посетителей. Это означает, что показатель успешности составил всего 0,6%, или 10 посетителей.

Оценки уровня мошенничества, присваиваемые посетителям.
Источник: Hero

Система оценивает каждого посетителя и присваивает ему оценку риска мошенничества от 0 до 100. Эта оценка отражает вероятность того, что посетители являются недобросовестными, и рассчитывается на основе проверки таких деталей инфраструктуры, как облачные провайдеры, центры обработки данных, VPN и поставщики решений в области безопасности.

«Посетители из Microsoft Corporation, Google, Tencent Cloud Computing, OVH Hosting и других облачных провайдеров автоматически помечаются как имеющие высокий уровень мошенничества и блокируются», — говорится в отчете Varonis. сегодняшнем


На основе диапазонов IP-адресов, интернет-провайдера и поведенческих моделей система также может определить, просматриваются ли вредоносные рекламные объявления сканерами безопасности.


Компания Varonis зафиксировала, что трафик, связанный с 1Campaign, распространяется в США, Канаде, Нидерландах, Китае, Германии, Франции, Японии, Венгрии и Албании.


Платформа для борьбы с киберпреступностью также предлагает инструмент для запуска рекламы Google Ads, который помогает операторам запускать как вредоносные, так и безобидные рекламные кампании. Разработчик утверждает, что этот инструмент позволяет обходить ограничения политики Google и выдавать себя за легитимные бренды в рекламе.

Источник: Hero

Несмотря на внедрение Google многочисленных мер защиты, его рекламная платформа по-прежнему используется для распространения мошенничества, вредоносного ПО и программ для выкачивания криптовалюты. Однако 1Campaign выделяется среди прочих, поскольку разработана специально для запуска вредоносной рекламы, которая проходит автоматическую проверку Google и, вероятно, будет существовать до тех пор, пока жертвы не сообщат о ней или о кампании не будет сообщено вручную.

Подобная система маскировки снижает эффективность сканирования статических URL-адресов. Варонис утверждает, что использование реалистичных отпечатков браузеров и шаблонов, имитирующих взаимодействие человека с устройством, позволило бы получить более качественные результаты анализа и обнаружения.


Для автоматического обнаружения Varonis рекомендует использовать разнообразный пул IP-адресов и различные конфигурации пользовательских агентов, чтобы избежать получения одинаковых отпечатков.


Пользователям рекомендуется избегать рекламных результатов поиска или, по крайней мере, относиться к ним с подозрением, а также добавлять в закладки официальные каналы распространения программного обеспечения.


Перед вводом учетных данных или другой конфиденциальной информации также рекомендуется дважды проверить URL-адрес в адресной строке.