“إعلان الخبيث”..قراصنة متنكرين يحتالون على مستخدمي غوغل لسرقة حساباتهم المصرفية

فقد قام قراصنة متسللين بشراء مساحة إعلانية برعاية مباشرة من الشركة، متنكرين في هيئة موقع Google Authenticator الأصلي لشركة التكنولوجيا العملاقة، والذي يوفر للمستخدمين حماية أمان كلمة المرور ثنائية العوامل.

استخدمت حملة الاحتيال ما بدا وكأنه عنوان URL شرعي ل”غوغل“، ولكن نظرة فاحصة كانت كفيلة بالكشف عن مصطلحات لا تدرجها الشركة عادةً.

يمكن أن يسمح المستخدمون، الذين قاموا بتنزيل الرابط الاحتيالي للقراصنة المتسللين، بالوصول إلى تفاصيل حساباتهم المصرفية وعنوانهم وعنوان IP الشخصي.

يحث الخبراء حاليا الضحايا على تنزيل وتشغيل ماسح الفيروسات على الفور وتغيير جميع كلمات المرور وحذف أي ملفات مؤقتة.

وكان الخبراء ينصحون في أوقات سابقة بنقر المستخدمين فوق روابط الإعلانات التي تحتوي على نطاق غوغل فقط، ولكن يبدو أن المتسللين قد استغلوا تلك النصيحة حيث قاموا باستخدام معدِّلات النص وتقنية التمويه لتقليد المواقع الرسمية.

أدى الإعلان الخبيث إلى قيام المستخدمين بتنزيل نسخ مقنعة من أداة المصادقة التي تم تثبيتها بواسطة حملة توزيع برامج ضارة تسمى DeerStealer، والتي ادعت أن المطور، لاري مار، تم التحقق منه من قبل غوغل.

قال الباحث جيروم سيغورا، من أحد مراكز الأمن السيبراني جيروم سيغورا، والذي كشف عن الهجوم الإلكتروني، في منشور على مدونة إن “الحقيقة هي أن لاري مار لا علاقة له بغوغل ومن المرجح أن يكون حسابًا مزيفًا”.

وأضاف: “يمكننا تتبع ما يحدث عندما تنقر فوق الإعلان من خلال مراقبة حركة المرور على الويب”.

وتابع،”نرى عددًا من عمليات إعادة التوجيه عبر المجالات الوسيطة التي يسيطر عليها المهاجم، قبل الوصول إلى موقع مزيف لأداة المصادقة”.

وفقًا لسيغورا، رأى المستخدمون الذين بحثوا عن منتجات “غوغل” على المتصفح الإعلان مدرجًا على أنه برعاية الشركة، مما دفعهم إلى النقر فوقه من دون قلق.

ثم تم إعادة توجيههم عدة مرات حتى وصلوا إلى موقع مزيف مستضاف على منصة المطورين GitHub.

كما اكتشف الباحثون أنه بعد النقر على زر “التنزيل”، تلقى المستخدمون نافذة منبثقة تسمى Authenticator.exe تقوم بتنزيل البرامج الضارة على أجهزة الكمبيوتر الخاصة بهم.

يوفر Google Authenticator خدمات مصادقة متعددة العوامل تضيف طبقة ثانية من الحماية لحسابات “غوغل” من خلال طلب كلمة مرور لمرة واحدة تعتمد على الوقت بالإضافة إلى كلمة المرور العادية للمستخدم.

وفقًا لـ “Statista”، قام ما يقرب من أربعة ملايين شخص بتنزيل خدمة المصادقة الشرعية من “غوغل” منذ تشرين الأول/أكتوبر 2022.

أفادت “غوغل” بأن الجهات الفاعلة المهددة، مثل DeerStealer، أنشأت آلاف الحسابات للتهرب من الاكتشاف وقامت في نفس الوقت بتعديل عنوان URL ونص الموقع واستخدمت برامج التمويه لإظهار مواقع ويب ومعلومات مختلفة لمراجعي “غوغل” عما يراه المستخدمون.

إذا تم تنزيل أداة المصادقة الاحتيالية بنجاح، فسيكون لدى DeerStealer حق الوصول إلى معلومات المستخدم الحساسة بما يشمل العناوين وكلمات المرور والمعلومات المصرفية وسرقة الهوية وعنوان IP للضحية.

قال سيغورا: “يجب ملاحظة أن Google Authenticator هي أداة مصادقة متعددة العوامل معروفة وموثوقة، لذا هناك بعض السخرية في تعرض الضحايا المحتملين للخطر أثناء محاولتهم تحسين وضعهم الأمني”.

وأوصى “بتجنب النقر فوق الإعلانات لتنزيل أي نوع من البرامج وبدلاً من ذلك زيارة المصادر الرسمية مباشرة”.

لم تذكر “غوغل” متى تم نشر البرامج الضارة لأول مرة أو عدد الأشخاص المتأثرين، لكنها أكدت أن رابط المصادقة المدعوم قد تم إزالته في 30 تموز/يوليو بعد أن أخطرتهم شركة Malwarebytes لمكافحة البرامج الضارة بالنشاط الاحتيالي.

وأوضحت “غوغل” أنها لا تزال تحقق في المشكلة وهي في طور زيادة أنظمتها الآلية وعدد المراجعين البشريين للمساعدة في تحديد وإزالة الحملات الضارة.