
Image by Solen Feyissa, from Unsplash
Google Ads Wykorzystywane do Rozprzestrzeniania Fałszywego Malware’u DeepSeek
Badacze z dziedziny cyberbezpieczeństwa zidentyfikowali niebezpieczną nową kampanię malware, która ma na celu użytkowników popularnego AI chatbota DeepSeek-R1.
Spieszysz się? Oto najważniejsze fakty:
- Podrobione strony DeepSeek-R1 rozprzestrzeniają złośliwe oprogramowanie za pomocą reklam Google.
- Ofiary pobierają złośliwy instalator pod przykrywką chatbota.
- Złośliwe oprogramowanie instaluje „BrowserVenom”, który przejmuje i monitoruje ruch sieciowy
Badacze z dziedziny cyberbezpieczeństwa z firmy Kaspersky informują, że atakujący wykorzystują Google Ads do promowania fałszywej wersji strony, wykorzystując popularność modelu, aby zmylić użytkowników i skłonić ich do pobrania szkodliwego oprogramowania.
Złośliwa reklama kieruje użytkowników do „deepseek-platform[.]com” – fałszywej strony internetowej, która naśladuje oficjalną stronę DeepSeek. Użytkownicy, którzy klikną w przycisk „Wypróbuj teraz”, zobaczą fałszywe CAPTCHA przed prośbą o pobranie tego, co wydaje się być instalatorem DeepSeek. Plik o nazwie „AI_Launcher_1.21.exe” to w rzeczywistości zaawansowany łańcuch złośliwego oprogramowania.
Instalator otwiera drugie fałszywe CAPTCHA, a następnie oferuje instalację znanych narzędzi AI, takich jak Ollama i LM Studio. Ale w tle uruchamia ukryty kod, który rozpoczyna infekcję. Najpierw próbuje obejść oprogramowanie antywirusowe, wykluczając folder użytkownika z Windows Defender. Następnie próbuje pobrać więcej złośliwego oprogramowania z kolejnej niezaufanej domeny.
Ostateczny ładunek, znany jako BrowserVenom, modyfikuje konfiguracje przeglądarek, przekierowując cały ruch internetowy przez serwery proxy obsługiwane przez atakujących. Pozwala to im na monitorowanie danych użytkownika i jego aktywności w sieci. Malware dodaje fałszywy certyfikat do systemu, jednocześnie modyfikując skróty i ustawienia przeglądarek w Firefox i Tor.
Badacze zauważają, że atak już dotknął użytkowników w Brazylii, Kuba, Meksyku, Indiach, Nepalu, RPA i Egipcie.
„Jak już informowaliśmy, DeepSeek okazał się doskonałą przynętą dla przestępców, aby przyciągnąć nowe ofiary” – powiedzieli badacze. Ostrzegają użytkowników, aby dokładnie sprawdzali adresy URL stron internetowych i certyfikaty przed pobraniem oprogramowania, nawet z wyników wyszukiwania, aby uniknąć wpadnięcia w te pułapki.