标签: 恶意广告

新型恶意软件 Tarmac 被发现针对 MacOS 用户

安全研究人员发现了一种新的Mac恶意软件,然而它的目的和功能目前仍然是一个谜。 这款恶意软件名为Tarmac(OSX / Tarmac),其通过在Mac用户的浏览器中运行恶意代码,将用户重定向到某个软件的更新页面——通常是Adobe的Flash Player。 在用户下载Flash Player更新的同时,其系统将会安装恶意软件二人组-首先是OSX / Shlayer恶意软件,然后是第一个启动的OSX / Tarmac。 自2019年1月开始传播 Confiant的安全研究人员Taha Karim表示,这次散播Shlayer + Tarmac组合的恶意活动始于今年1月。 Confiant 当时发布了一份有关2019年1月恶意广告活动的报告 ; 但是,他们只发现了Shlayer恶意软件,而没有发现Tarmac。 目前已经确定的Tarmac版本都比较旧,并且原始命令和控制服务器已关闭——或者已经被迁移。 Shlayer 会在受感染的主机上下载并安装 Tarmac。Tarmac 会收集有关受害者硬件设置的详细信息,并将此信息发送到其命令和控制服务器。 之后,Tarmac将等待新命令。但是由于服务器不可用,所以无法确定在这之后会发生什么。 从理论上讲,大多数恶意软件都非常强大,具有许多侵入性功能,Tarmac 也应该会造成巨大的威胁。但是目前一切都还只是谜。   主要受影响用户位于美国,意大利和日本 Karim 表示,分发 Shlayer 和 Tarmac 的恶意广告主要针对的是美国,意大利和日本的用户。 由于 Tarmac 的 payload 具有合法的 Apple 开发证书签名,因此 Gatekeeper 和 XProtect 不会在安装过程中报错或者中止。 如果用户想要查看自己的 Mac 系统是否受到此恶意软件感染,可以在Karim的Tarmac报告中寻找IoC。     消息来源:ZDNet, 译者:r4938n,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

一香港男子被认为是在微软应用程序部署恶意广告的罪魁祸首

据外媒ZDNet报道,一名来自香港的嫌疑人认为是过去几个月内侵入微软应用程序和服务的恶意广告浪潮背后的罪魁祸首。根据专门跟踪恶意广告活动的网络安全公司Confiant 本周与ZDNet分享的一项调查,嫌疑人被认为是一名香港男子,至少经营两家名为Fiber-Ads和Clockfollow的幌子公司。 Confiant表示,嫌疑人使用这两家公司在广告中放置合法的广告网络。隐藏在广告中的恶意代码劫持了查看广告的用户,并将其重定向到其他网站。然后,嫌疑人在MyMediaAds(一个在线广告商平台)上使用一个帐户,将被劫持的流量出售给其他威胁行动者,将用户从合法的应用程序和网站重定向到推送虚假防病毒应用程序、Flash更新、技术支持网站和其他诈骗的网站。 根据其内部数据,Confiant表示,香港威胁行动者仅在今年就已经造成超过1亿的不良广告。“台式机和移动设备的目标数量相对较少,但桌面Windows和iOS受到攻击者的青睐,”Confiant高级安全工程师Eliya Stein表示。 虽然来自此威胁行动者的大多数不良广告都是通过网络广告展示的,但其中一些广告也已经覆盖了Windows应用和微软服务。Stein说道,这个威胁行动者是最近在微软新闻应用程序,各种微软游戏和Outlook中发现的不良应用程序内广告的背后罪魁祸首。 该过程的工作方式如下:用户打开Microsoft应用程序,应用程序加载广告,广告中的恶意代码会将用户的默认浏览器打开为恶意URL。其中一些恶意广告活动影响了法国或德国等地理区域的用户。 然而,这个威胁行动者的恶意广告活动不仅仅是在微软应用程序中展示广告,Confiant称这“只是从这个恶意行动者已经积极和颠覆性的恶意广告猖獗中蔓延开来。” 在过去的几周里,Confiant一直在与受影响的广告平台合作,禁止这位来自香港的威胁行动者。Stein在接受采访时告诉ZDNet,“在我们的调查过程中,一个平台确认了这些活动背后的买家是在香港以外的地方。” “广告生态系统中越来越多的恶意行为者正在香港开展业务,他们在公开场合开展活动时,在某种程度上不会受到法律后果的影响,”他补充说。“我们希望这篇文章能够揭示这一现象,我们很高兴将来会与执法机构分享这些调查结果。   (稿源:cnBeta,封面源自网络。)

CheckPoint:Android 恶意广告软件 SimBad 被下载近 1.5 亿次

安全企业 CheckPoint 最新报告称,谷歌 Play 商店中的 200 多款应用,都被恶意广告代码给感染。进一步的分析发现,这可能导致设备在应用外强行显示广告、引导用户到某些网站和应用商店链接、甚至下载新的 App 。在向谷歌提交了恶意软件报告后,官方已经将它们从商店中移除。但根据 Play 商店的统计数据,其已经累积被下载了近 1.5 亿次。 【糟糕的应用软件,在不断地涌入谷歌 Play 商店】 攻击图例(来自:CheckPoint) 据悉,通过隐藏恶意代码,发布者将这些软件伪装成了合法的广告软件。但若你以为它们只会弹广告,那就大错特错了。调查发现,这类广告软件在 Play 商店中广泛存在,涵盖了诸多不同的应用和游戏。 疑似命令与控制服务器的相关代码(来自:CheckPoint) 在被恶意代码感染的流星软件中,模拟类游戏成为了一个重灾区。其中包括重型挖掘机、农业拖拉机、山地巴士、海洋动物 / 卡车运输等稀奇古怪名字的模拟器。 【Check Point 将这类恶意广告软件命名为 SimBad】 隐藏图标代码,删除谈何容易?(图自:CheckPoint) 更可恶的是,该恶意软件还暗藏了隐藏图标的代码,从而加大了用户想要查找和清除它们的难度。作为平台方,谷歌本应肩负起应用审核的责任,但它显然没有苹果 App Store 那样严格和彻底。 在疯狂弹送广告的同时,SimBad 甚至会通过色情广告的形式,引诱用户下载更多的 App 。或者滥用系统权限,劫持设备,将之用于分布式拒绝服务(DDoS)攻击。 后台广告启动代码(图自:CheckPoint) 回想去年,谷歌声称其在检测问题 App 方面取得了“重大进展”,能够在安装前拦截并移除 99% 的有害应用。 但 SimBad 的存在事实,表明这场攻防战永无终点。要让 Android 用户安全访问 Play 商店,谷歌显然还有很多事情要去完善。     (稿源:cnBeta,封面源自网络。)

恶意软件伪装成《堡垒之夜》作弊外挂 作弊者遭感染被投送恶意广告

《绝地求生》《堡垒之夜》这些现象级游戏背后最令人厌恶的非作弊行为莫属,近日有尝试使用作弊外挂的《堡垒之夜》玩家感染恶意软件被劫持用于中间人攻击,注入各类恶意广告,而他们都曾经尝试过下载一款伪装成自瞄功能的外挂软件。 近日,据串流软游戏软件Rainway报道,从6月26日开始他们收到了超过38.1万起错误报告。通过发掘日志公司工程师发现,这些用户尽管有者不同的硬件和IP,但他们都曾经在平台串流玩过《堡垒之夜》,而造成这一异常错误报告现象的原因是这些感染了恶意软件的玩家,发起中间人攻击试图通过Rainway服务器代理向多个广告平台发起连接请求。由于Rainway采用了内部白名单,这些无法连接的请求产生了许多错误报告。工程师通过网址追踪到了这一恶意软件的源头,并且对比数千种外挂插件,找到了使用相同URL的《堡垒之夜》外挂插件。这一外挂插件号称能够提供自瞄功能,并且获得免费的V货币。 而起真实的目的是让作弊者劫持发动中间人攻击,投送多个广告或者恶意网址。工程师发现这一伪装成作弊外挂的恶意软件已经被下载了超过7.8万次。   稿源:cnBeta,封面源自网络;

研究表明:任何用户都能轻松买到具备定位和软件使用情况追踪功能的广告

据外媒报道,来自华盛顿大学的研究人员日前找到了一种能够通过在移动软件上投放广告追踪某人地理位置和软件使用情况的方法。这一结果让人们深刻地意识到利用基于软件的广告系统侵犯隐私的严重性。获悉,研究人员通过购买一系列有特定位置和软件针对性的广告获取信息,然后找出哪些手机订阅户是他们的目标。 研究团队测试了 Grindr、Imgur、Words with Friends、Talkatone 等 10 款不同的软件,这些都使用了广告网络。广告购买者能够通过向用户软件推送广告内容了解其安装的软件。这些信息可能是敏感的,它可能会曝光用户的性取向或宗教信仰。另外,研究人员还能知道用户何时抵达某个特定位置。在某一特定位置投放广告后,广告网络将会在用户抵达该地后 10 分钟内通知广告投放者。 研究论文联合作者、华盛顿大学安全与隐私研究实验室联合主人 Franzi Roesner 指出,这是网络广告行业需要思考的一个问题。另外,报告还指出了大量信息将可能被利用的恶意方式,诸如企业可以利用定位广告来追踪跟风投公司的商务会议。据了解, 这种方式通过追踪用户移动广告 ID 号码实现,虽然这个号码看起来是保密的但研究人员表示其非常容易发现,因为它们通常都会以未加密的形式发送到广告交易系统,这意味着人们可以通过 Wi-Fi 监视获取到。研究人员建议,为了改善这种情况,广告网络应该更频繁地重置标识符并积极扫描恶意广告购买者。 稿源:cnBeta,封面源自网络;