- Регистрация
- Окт 17, 2022
- Сообщения
- 870
- Реакции
- 91
- Награды
- 1
В рамках масштабной рекламной кампании используются поддельные веб-страницы Solana, Luno и TradingView с вредоносным JavaScript, который дает браузерам указание собирать вредоносное ПО непосредственно в памяти.
Операция ведется с конца 2024 года и локализована на 25 языков в 12 странах, преимущественно в Азиатско-Тихоокеанском регионе и Латинской Америке.
Система фильтрации гарантирует, что на вредоносные страницы попадают только реальные цели (розничные трейдеры и криптоинвесторы), в то время как исследователи, сканеры и боты безопасности перенаправляются на пустые страницы.
Платформа для защиты рекламы Confiant утверждает, что дизайн кампании выделяется использованием веб-браузера в качестве «локального конвейера сборки» для вредоносного ПО.
Хотя на поддельных порталах есть кнопка загрузки, библиотека ReactJS на главной странице подготавливает браузер к управляемому процессу загрузки, обычно используемому для обработки различных типов передачи файлов.
Согласно анализу Confiant, страница сначала регистрирует сервис-воркер, который действует как менеджер загрузок и помогает постепенно создавать файл вредоносного ПО.
