Вредоносное ПО Gootloader распространялось через поддельную статью в поисковой выдаче

Компания Sophos раскрыла необычную кибератаку, в которой преступники использовали вредоносное ПО Gootloader для заражения компьютеров любителей в Австралии. Gootloader известна с 2014 года и может красть информацию или служить загрузчиком других вирусов, включая программы-вымогатели.

Обычно киберпреступники нацеливаются на крупные компании, банки или влиятельных лиц, пишет Securitylab. Но в этот раз атакующие решили взломать устройства пользователей, интересующихся вопросом: «Законны ли бенгальские кошки в Австралии?». Злоумышленники создали поддельные страницы, специально настроенные так, чтобы они попадали в топ поисковых результатов по этому запросу.

Когда пользователи переходили на такой сайт, им предлагалось скачать ZIP-файл. После открытия архива на компьютер загружалась первая часть вредоносного кода. Затем браузер автоматически перенаправлялся на другой сайт, где загружался большой JavaScript-файл, запускавший целую серию процессов на устройстве.

Среди процессов были признаки того, что злоумышленники пытались закрепиться в системе и передать команды PowerShell для развертывания Gootkit — третьего этапа атаки. Это привело к внедрению дополнительных инструментов, таких как Cobalt Strike и других программ-вымогателей.

Sophos подчеркнула, что Gootloader является частью широкой схемы распространения вредоносных программ как услуги (Malware-as-a-Service, MaaS), активно использующей результаты поиска для достижения жертв. Тактика SEO-оптимизации и рекламного продвижения на поисковых платформах для загрузки вредоносных файлов не нова. Такие методы с 2020 года популярны среди брокеров начального доступа (Initial Access Broker, IAC) и вымогательских группировок.