Netskope تكشف عن إعلانات Google التي عرضت تحذيرات فيروس مزيفة على المستخدمين

كشف باحثو الأمن في شركة Netskope عن حملة احتيال استخدمت إعلانات Google لعرض تحذيرات مزيفة بالإصابة على شاشات مستخدمي Windows وMac ودفعهم إلى الاتصال بمركز دعم وهمي. ونشر موقع Ars Technica التفاصيل في 25 سبتمبر.

ظهرت الإعلانات في مواقع كثيرة عالية الزيارات، منها مواقع الخرائط والطقس والعقارات واستضافة المستندات والرياضة. ومن اتصل بالرقم المعروض على الشاشة طُلب منه دفع مبالغ كبيرة أو منح وصول عن بُعد إلى جهازه أو مشاركة بياناته الشخصية.

619 مؤسسة نقرت على الإعلانات الخبيثة

رصدت Netskope بين 31 أغسطس و14 سبتمبر نقرات على الإعلانات الخبيثة من مستخدمين في 619 مؤسسة من عملائها. ولم يتعرض أي منهم للاحتيال فعلياً لأن الشركة حجبت المحتوى الخبيث. ونحو 62 في المئة من المؤسسات المتأثرة موجودة في الولايات المتحدة، فيما جاءت اليابان وأستراليا في المركزين الثاني والثالث.

وتتبعت Netskope أكثر من 250 معرّف حملة إعلانية على Google Ads في ما لا يقل عن 284 موقع نشر شرعياً. ولأن الشركة لا ترى سوى جزء ضئيل من حركة الإنترنت، فمن المرجح أن عدد المتعرضين للإعلانات أكبر بكثير.

كيف عملت الشاشة المزيفة

بعد النقر، انتقل المستخدم إلى صفحة مستضافة على السحابة عرضت أولاً مؤشر تحميل ثم متجراً إلكترونياً عادياً. وانتظر الكود الخبيث حركة من الفأرة ليتجاوز أدوات الفحص الآلية. بعد ذلك فك تشفير عنوان خادم مخفي، ونزّل حمولة مشفرة مصممة لنظام Windows أو macOS، وجمّع التحذير المزيف داخل ذاكرة المتصفح، بحيث لا يمر أي ملف قابل للفحص عبر الشبكة.

أخفت الشاشة المزيفة شريط العنوان، وملأت الشاشة كاملة، وعطّلت مفتاح Escape ومفاتيح أخرى كثيرة، وأبطأت المتصفح بأصوات وتجمّد. وفي Windows قلّدت الصفحة فحص Microsoft Defender، وعلى Mac عرضت تحذيرات بأسلوب Apple. وربما ساعدت هذه الأساليب الحملة على تجاوز أدوات حماية الأجهزة، وربما مرشحات الإعلانات في Google نفسها.

رد Google وكيفية الخروج من الفخ

لم تشرح Google سبب فشل أدوات الفحص لديها في رصد الحملة، ولم تعطِ أي مؤشر على إزالة الإعلانات بالكامل. وقالت الشركة في بيان: «لا نتسامح إطلاقاً مع عمليات الاحتيال»، وأضافت أنها تحقق في الحملات الواردة في التقرير وستتخذ إجراءات ضد الحسابات التي تخالف سياساتها. وأكدت Google أنها حجبت العام الماضي أكثر من 99 في المئة من الإعلانات المخالفة قبل نشرها.

في الواقع، جهاز الضحية غير مقفل فعلياً. وفي معظم الحالات يكفي الاستمرار في الضغط على مفتاح Escape لعدة ثوانٍ لإخراج المتصفح من وضع ملء الشاشة وتحرير قفل لوحة المفاتيح. وفي Windows يمكن أيضاً فتح Task Manager بالاختصار control-shift-escape، وعلى Mac فتح Force Quit بالاختصار cmd-option-escape. وتؤكد Netskope وArs Technica أن أي شركة شرعية لن تطلب أبداً الاتصال برقم هاتف بسبب إصابة مزعومة.