Malvertising (малвертайзинг) - это техника кибератаки, при которой злоумышленники используют легитимные сети онлайн-рекламы для распространения вредоносного программного обеспечения или перенаправления пользователей на опасные веб-сайты. Термин образован слиянием двух английских слов — malicious (вредоносный) и advertising (реклама). Ключевая особенность малвертайзинга заключается в том, что атакующий не взламывает сам сайт, который посещает жертва, а внедряет или покупает рекламное объявление через доверенную рекламную сеть. В результате вредоносный контент появляется на легитимных, высокопосещаемых ресурсах, что придаёт ему видимость благонадёжности.
Механизм работы и ключевые особенности
В основе малвертайзинга лежит эксплуатация доверия пользователей к рекламным объявлениям, которые отображаются в верхней части результатов поиска или на популярных платформах. Атакующие приобретают рекламные места по конкретным поисковым запросам, которые с высокой вероятностью вводят ничего не подозревающие пользователи, например, названия популярных программных продуктов или инструментов для разработки. Объявление маскируется под легитимное и может выглядеть более убедительно, чем настоящие рекламные блоки, особенно если злоумышленники используют арендованные поддомены или поддельные страницы для создания правдоподобных ссылок. В отличие от фишинга, доставляемого по электронной почте, где пользователей годами приучали к бдительности, к рекламным объявлениям в поисковой выдаче отношение зачастую остаётся более доверчивым.
После загрузки объявления может произойти незаметное перенаправление на вредоносный сайт или запуск кода непосредственно в браузере. В некоторых случаях для заражения не требуется никаких действий со стороны пользователя - вредоносная программа доставляется на основе того, как именно загрузилось объявление и какие данные о устройстве оно собрало. Для повышения эффективности атакующие часто используют эксплойт-киты (Exploit Kits) - наборы готовых уязвимостей, которые автоматически подбирают способ проникновения в систему в зависимости от версии браузера и установленного программного обеспечения.
Примеры из реальной практики
Малвертайзинг демонстрирует высокую адаптивность: злоумышленники оперативно используют тренды и доверие к известным брендам. В 2025 году исследователи зафиксировали кампанию GPUGate, нацеленную на IT-специалистов и разработчиков. Атакующие покупали рекламу в Google по запросам, связанным с инструментом GitHub Desktop, и перенаправляли пользователей на поддельные страницы, которые выглядели как легитимные репозитории GitHub. Ключевая особенность кампании - использование фейковых коммитов GitHub, встроенных в URL: ссылка выглядела так, будто ведёт на настоящий GitHub, но фактически перенаправляла на сайт, контролируемый злоумышленниками. Вредоносный файл маскировался под установщик MSI размером 128 мегабайт, что было сделано намеренно для обхода автоматических систем анализа в виртуальных средах. Кроме того, полезная нагрузка использовала механизм проверки наличия графического процессора: она расшифровывалась и запускалась только на реальном оборудовании, что позволяло обходить песочницы и исследовательские стенды, работающие на виртуальных машинах.
Другой показательный пример - кампания, нацеленная на разработчиков и продвинутых пользователей macOS. Злоумышленники приобретали рекламу в Google, которая вела на убедительные поддельные страницы загрузки, имитирующие Homebrew, LogMeIn и TradingView. Вместо прямого скачивания вредоносного файла использовалась социально-инженерная техника ClickFix: пользователю предлагалось скопировать и вставить в терминал команду, которая выглядела как обычная установка. На самом деле команда загружала и запускала скрипт, отключающий карантинные флаги macOS и устанавливающий один из двух инфостилеров — AMOS (Atomic macOS Stealer) или более новый Odyssey. Эти программы собирали cookies браузеров, сохранённые пароли, данные из связки ключей macOS, расширения криптовалютных кошельков и приватные ключи. Поскольку страницы были визуально неотличимы от настоящих, а переход осуществлялся из рекламного блока в поисковой выдаче, даже технически грамотные пользователи становились жертвами атаки.
Эволюция угрозы и защита
Малвертайзинг продолжает эволюционировать, используя новые технологии и доверие к крупным платформам. Появление AI-обзоров в поисковой выдаче меняет пользовательский опыт: рекламные объявления могут отображаться над, внутри или под сгенерированным AI-блоком, что дополнительно маскирует их вредоносную природу. Для борьбы с этой угрозой недостаточно полагаться только на антивирусные сигнатуры. Эффективная защита требует сочетания технических мер, таких как блокировщики рекламы и строгие политики безопасности браузера, с обучением пользователей. Сотрудники должны понимать, что даже при поиске в Google или просмотре популярных сервисов переход по рекламной ссылке может привести на фишинговый сайт или запустить загрузку вредоносного файла. Регулярный мониторинг рекламных кампаний и использование репутационных фильтров на уровне корпоративных сетей также снижают риск компрометации, поскольку злоумышленники постоянно ищут новые способы обойти проверки рекламных платформ.
