Компания Cyjax обнаружила новую кампанию по распространению вредоносного загрузчика Bumblebee через поддельные сайты, использующие SEO-отравление в поисковой системе Bing. Злоумышленники создали мошеннические страницы для популярных программ WinMTR и Milestone XProtect, чтобы обманом заставить пользователей загрузить троянизированные установщики.
Описание
Как работает атака?
Злоумышленники зарегистрировали домены, похожие на официальные, например, winmtr[.]org вместо winmtr[.]net, и с помощью SEO-оптимизации добились их появления в топе результатов Bing по запросам «WinMTR download» и «Milestone XProtect download». При переходе по ссылке из поиска пользователь видит точную копию легального сайта, однако вместо оригинального ZIP-архива предлагается вредоносный MSI-файл. Установщик загружается с внешнего сервера software-server[.]online и, помимо легитимного ПО, доставляет вредоносную DLL version.dll и исполняемый файл icardagt.exe, которые запускают Bumblebee.
Цели и последствия
Bumblebee — это сложный загрузчик, ранее связанный с группировкой Conti. После заражения он подключается к командным серверам в доменной зоне .life, что позволяет злоумышленникам загружать дополнительные вредоносные модули, включая программы-вымогатели. Аналитики предполагают, что злоумышленники расширяют кампанию, добавляя новые жертвы через SEO-отравление.
Пользователям рекомендуется скачивать ПО только с официальных сайтов, проверять домены на опечатки и использовать антивирусные решения для блокировки подозрительных файлов. На данный момент Microsoft, владелец Bing, не прокомментировал ситуацию. Эксперты рекомендуют поисковым системам усилить мониторинг SEO-спама для предотвращения подобных атак.
Индикаторы компрометации
