С 31 августа по 14 сентября 2026 года схема мошенничества под видом службы технической поддержки затронула как минимум 619 организаций в разных странах. Жертвы попадали на поддельные страницы после клика по объявлению в поиске Google. Сначала перед человеком открывался обычный интернет-магазин, а спустя несколько секунд экран заполняло ложное предупреждение о вирусе с номером телефона. Звонок по нему вёл к оплате несуществующих услуг, к передаче мошенникам удалённого доступа к компьютеру или к потере личных и платёжных данных.
Описание
Механика обмана построена на терпении и наблюдательности. Страница не запускает ничего, пока не зафиксирует хотя бы одно движение курсора мыши. Автоматические сканеры и поисковые роботы, проверяющие содержимое сайтов, такого движения не создают. Для них страница остаётся безобидной витриной. Все поддельные ресурсы размещались на облачном хостинге, поэтому их легко было менять и переносить. Как только курсор сдвинулся, скрытый код расшифровывает адрес командно-контрольного сервера - центра управления вредоносной кампанией. С него загружается полезная нагрузка, то есть код, который рисует поддельное предупреждение. Отдельный вариант существует для Windows и для macOS.
По данным Netskope Threat Labs, к схеме привлекла внимание группа срабатываний на облачных адресах. При открытии одного из них появлялся белый экран с индикатором загрузки, надписью "Loading… Please wait" и двумя кнопками. Ни одна из кнопок не работала. Затем перед пользователем возникала витрина интернет-магазина с товарными карточками и стоковыми фотографиями под вывеской "ShopEase". Остальные отмеченные адреса выглядели так же. Насторожило аналитиков то, что переход от индикатора к магазину случался только после попытки нажать кнопку.
Главная особенность набора - способ уйти от анализа. Поддельное предупреждение собирается прямо в памяти браузера. Готовый файл не проходит по сети, поэтому перехватить его на лету не получается. На диск он тоже не сохраняется. Расшифровка идёт в два этапа: сначала восстанавливается адрес сервера управления, потом - содержимое самого предупреждения. Если командно-контрольный сервер недоступен или расшифровка срывается, схема останавливается и оставляет на экране безобидную витрину. Такой отказоустойчивый подход заметно усложняет поиск вредоносного кода. Раньше подобные приёмы встречались в куда более сложных веб-угрозах, теперь их взяли на вооружение организаторы мошеннических схем.
На Windows появляется окно, похожее на центр безопасности Microsoft Defender. Оно сообщает о заражении и показывает номер для звонка. На macOS тот же обман оформлен под продукцию Apple. Дальше начинается давление на человека. Первый клик в любом месте переводит страницу в полноэкранный режим. Адресная строка и вкладки исчезают, изображение занимает весь монитор. Курсор прячется, а нажатие клавиши Escape и другие привычные способы выхода перестают работать. Браузер начинает подтормаживать, при касаниях звучат тревожные сигналы. Поверх всего мигает чёрный экран с требованием не перезагружать компьютер и звонить немедленно. Попытка закрыть вкладку вызывает системное окно с тем же текстом. Компьютер при этом не заблокирован, средства операционной системы действуют как обычно.
Трафик поступал в основном через платную рекламу Google. Об этом говорят служебные метки, которые поисковик добавляет к адресу автоматически при клике по объявлению. При обычном переходе из поиска или по прямой ссылке таких меток не бывает. Почти все отмеченные адреса их несли. Значит, люди приходили именно по объявлениям, а не находили страницу сами. Клики шли и через собственный перенаправляющий сервер Google. Среди площадок, где показывалась реклама, - карты, погодные сервисы, порталы по недвижимости, хранилища документов и спортивные сайты. Издатели взломаны не были, объявления размещались через обычный рекламный инвентарь.
За две недели схема задела не менее 619 организаций. По географии кликов примерно 62% приходится на США, 16% - на Японию, 14% - на Австралию. Остальные пострадавшие разбросаны по десяткам других стран. Насчитано более 250 идентификаторов рекламных кампаний Google и не менее 284 легитимных сайтов-издателей. Поддельных узлов, обслуживающих схему, оказалось 457.
Единственная надёжная защита - осведомлённость. Настоящая операционная система или браузер никогда не блокируют экран и не требуют позвонить по телефону. Страница, которая это делает, всегда мошенническая. Звонок по номеру из такого окна почти всегда заканчивается просьбой установить программу удалённого доступа или продиктовать данные карты. Если браузер уже застрял на поддельном предупреждении, звонить не нужно. Короткое нажатие Escape не поможет, но удержание клавиши пару секунд иногда снимает полноэкранный режим и возвращает управление. После этого вкладку можно закрыть. Когда и такой способ не сработал, браузер принудительно завершают средствами системы: через диспетчер задач в Windows или окно принудительного завершения приложений в macOS. При повторном запуске не стоит восстанавливать прежнюю сессию.
Индикаторы компрометации
