Netskope חשפה פרסומות Google שהציגו התראות וירוס מזויפות למשתמשים

חוקרי אבטחה בחברת Netskope חשפו קמפיין מרמה שהשתמש בפרסומות של Google כדי להציג למשתמשי Windows ו-Mac התראות הדבקה מזויפות ולדחוף אותם להתקשר למוקד תמיכה פיקטיבי. את הפרטים פרסם אתר Ars Technica ב-25 בספטמבר.

הפרסומות הופיעו ברחבי הרשת, בין היתר באתרי מפות, מזג אוויר, נדל"ן, אחסון מסמכים וספורט פופולריים. מי שהתקשר למספר שהוצג התבקש לשלם סכומים גבוהים, להעניק גישה מרחוק למכשיר או למסור פרטים אישיים.

619 ארגונים לחצו על הפרסומות הזדוניות

בין 31 באוגוסט ל-14 בספטמבר תיעדה Netskope לחיצות על הפרסומות הזדוניות מצד משתמשים ב-619 ארגוני לקוחות. איש מהם לא נפגע בפועל, משום שהחברה חסמה את התוכן הזדוני. כ-62 אחוזים מהארגונים שנפגעו נמצאים בארצות הברית, ובמקומות השני והשלישי ניצבות יפן ואוסטרליה.

Netskope איתרה יותר מ-250 מזהי קמפיין של Google Ads ביותר מ-284 אתרי מפרסמים לגיטימיים. לפי Ars Technica, החברה רואה רק חלקיק זעיר מתעבורת האינטרנט, ולכן מספר הנחשפים כנראה גבוה בהרבה.

מסך מזויף שחיקה הדבקה אמיתית

לחיצה על הפרסומת הובילה לעמוד מתארח בענן, שהציג תחילה חיווי טעינה ואחר כך חנות מקוונת תמימה למראה. הקוד הזדוני המתין לתזוזה של העכבר, טריק שמכשיל סורקים אוטומטיים. לאחר מכן הוא פענח כתובת שרת נסתרת, הוריד מטען מוצפן המותאם ל-Windows או ל-macOS והרכיב את האזהרה בזיכרון הדפדפן, כך שאף קובץ לא עבר ברשת.

המסך המזויף הסתיר את שורת הכתובת, תפס את כל המסך, השבית את מקש Escape ומקשי מקלדת רבים והאט את הדפדפן עם צלילים ותקיעות. ב-Windows חיקה העמוד סריקה של Microsoft Defender, וב-Mac הציג התראות בסגנון Apple. ייתכן שהשיטות האלה עזרו לקמפיין לחמוק מכלי אבטחה ומסנני הפרסומות של Google עצמה.

תגובת Google ואיך להיחלץ מהמלכודת

Google לא הסבירה מדוע הסורקים שלה פספסו את הקמפיין ולא אישרה שהפרסומות הוסרו לחלוטין. "אנחנו לא סובלים הונאות", מסרה החברה, והוסיפה שהיא חוקרת את הקמפיינים בדוח ונפעל נגד חשבונות שמפרים את המדיניות שלה. לדברי Google, בשנה שעברה היא חסמה יותר מ-99 אחוזים מהפרסומות המפרות עוד לפני שהוצגו.

בפועל, המחשב של הקורבן אינו נעול. ברוב המקרים אפשר להחזיק את מקש Escape כמה שניות כדי לצאת ממצב מסך מלא ולשחרר את נעילת המקלדת, ואז לסגור את הלשונית. ב-Windows אפשר גם לפתוח את Task Manager בצירוף control-shift-escape, וב-Mac להשתמש ב-Force Quit בצירוף cmd-option-escape. Netskope ו-Ars Technica מדגישים שחברה לגיטימית לעולם לא תבקש להתקשר למספר בגלל הדבקה.