Разработчики печально известного бэкдора SolarMarker (Jupyter) буквально заполонили интернет тысячами PDF-файлов с десятками тысяч страниц ключевых запросов и ссылок, ведущих к вредоносным программам. Последние воруют пароли и персональные данные.
Команда Microsoft Security Intelligence предупредила пользователей постом в Twitter о том, что разработчики вредоносного ПО SolarMarker используют старую технику SEO poisoning с новыми целями. Изначально в качестве хостинга использовался Google Sites, позже злоумышленники перешли на платформы Amazon Web Services (AWS) и Strikingly.
Ещё в апреле были обнаружены тысячи уникальных страниц, содержащих популярные термины/запросы, например — «шаблон», «счёт-фактура», «рецепт», «опросник» и «резюме». Преступники использовали тактику SEO-продвижения, чтобы привести бизнес-пользователей на более, чем 100 000 сайтов на хостинге Google. С сайтов на компьютеры пользователей устанавливался троян для удалённого доступа, позднее с помощью него инфицировались информационные системы целых корпораций, устанавливались банковские трояны и другое вредоносное ПО.
Текущая схема работает по схожему принципу. PDF-документы созданы таким образом, что попадают в самый верх поисковой выдачи. Злоумышленники наполнили файлы всевозможными поисковыми запросами, с более 10 000 словосочетаний — от «форма страхования» и «согласие с условиями контракта» до «ответов на математические задачи».
Найденные в поиске страницы или PDF-файлы побуждают пользователей перейти по ссылке якобы для загрузки необходимого документа — тоже в формате PDF или DOC. После клика пользователь перенаправляется через пять-семь сайтов с доменами вроде .site, .tk, и .ga на ресурс, имитирующий страницу Google Drive, где он и загружает вредоносную программу, обычно — SolarMarker, которая и выполняет оставшуюся часть «грязной работы».
Разработчики антивируса Microsoft Defender утверждают, что их ПО заблокировало тысячи подобных PDF. Тем, кто не использует Microsoft Defender Antivirus или Microsoft Defender for Endpoint разработчики рекомендуют настроить то антивирусное ПО, которое они применяют, для обнаружения соответствующих угроз.
Источник: Threatpost
