黑客滥用谷歌虚假广告传播恶意软件

近日，有安全人员发现有黑客再次滥用谷歌广告向目标用户发送信息窃取恶意软件，这次他们利用广告跟踪功能，向企业用户发送 Slack 和 Notion 等流行协作群件的虚假广告。

本周，AhnLab 安全情报中心（ASEC）的研究人员发布的文章中提到，黑客利用了统计功能嵌入传播恶意软件（包括 Rhadamanthys 窃取程序）的 URL。该功能允许广告商在广告中插入外部分析网站地址，以收集和使用访问者的访问相关数据来计算广告流量。

但研究人员发现，黑客并没有插入外部统计网站的 URL，而是滥用该功能进入网站分发恶意代码。目前此类广告已被删除。但根据ASEC的说法，当这些广告仍处于“活动”状态时，如果用户不小心点击了横幅广告，仍然会跳转到下载恶意文件的页面。

在类似的攻击活动中，Rhadamanthys 伪装成了企业常用的安装程序。一旦恶意软件被安装和执行，它就会从黑客的服务器下载恶意文件和有效载荷。

重定向到窃取下载

ASEC 的帖子详细介绍了黑客是如何精心策划的这一活动。

该活动使用的典型安装程序是 Inno Setup 安装程序或 Nullsoft Scriptable Install System (NSIS) 安装程序；具体而言，黑客使用了以下可执行文件： Notion_software_x64_.exe、Slack_software_x64_.exe、Trello_software_x64_.exe 和 GoodNotes_software_x64_32.exe。

ASEC在其发布的博文中提到：恶意软件一旦被执行，就会使用可以保存文本的网站（如textbin或tinyurl）来访问恶意有效载荷地址。同时，他们还列出了黑客用来获取这些地址的URL，这些地址随后会被发送给用户。

据 ASEC 称，该活动的最终有效载荷是 Rhadamanthys 窃取程序，它会通过”%system32%”路径注入到合法的 Windows 文件中。研究人员指出，这使得窃取程序可以在用户不知情的情况下窃取用户的私人数据。

Rhadamanthys一个非常受黑客欢迎的信息窃取软件，可以在暗网上通过恶意软件即服务的模式购买。它是一个典型的窃取程序，可用于收集系统信息，如计算机名称、用户名、操作系统版本和其他机器详细信息。它还会查询已安装浏览器（包括 Brave、Edge、Chrome、Firefox、Opera Software）的目录，搜索并窃取浏览器历史记录、书签、cookie、自动填充、登录凭证和其他数据。