Бухгалтерское программное обеспечение QuickBooks от Intuit стало популярной целью для индийских мошенников, которые заманивают пользователей через рекламу Google. Эти мошенники используют две основные схемы: первая заключается в создании веб-сайтов, которые рекламируют онлайн-поддержку QuickBooks и предлагают пользователю позвонить по указанному номеру телефона, а вторая предлагает жертвам скачать программу, которая генерирует всплывающее окно с номером телефона. Оба номера телефонов оказываются мошенническими.
Описание
Мошенники создают фальшивые всплывающие окна QuickBooks, которые выводят пользователей из программы, представляясь сообщениями об ошибках. Недавно была обнаружена активная кампания вредоносной рекламы, которая указывает на то, что эта схема все еще работает. Пользователи QuickBooks, которые случайно загружают программу через эту рекламу, подвержены постоянным всплывающим окнам, которые создают ложное впечатление о том, что их данные могут быть повреждены, чтобы они обратились за помощью.
Мошенническая реклама, которая ведет к загрузке фальшивой программы QuickBooks, часто появляется на первых местах в результатах поиска Google. Сам сайт выглядит подозрительно достоверно, совпадая с официальным логотипом и имея печать "Solution Provider". Загрузка программы размещена на Dropbox. На самом деле, при установке этого приложения, помимо загрузки QuickBooks, также скрытно устанавливается бэкдор "zeform.exe". Этот бинарный файл интегрируется с QuickBooks и генерирует фальшивое сообщение об ошибке, которое может напугать пользователей.
Перед тем как появиться всплывающее окно, приложение, созданное для этой цели, проверяет время и дату, чтобы убедиться, что это рабочий день и в заданном временном окне. Текстовое содержимое окна закодировано в Base64, предположительно для избежания обнаружения антивирусным программным обеспечением.
Indicators of Compromise
Domains
- bizzgrowthinc.com
SHA256
- 0c3f5f7bed8efbb6b1de3e804d22397a8bdf442b83962444970855fc9606c9f5
- 9e0b46194dc1c034422700b02c6aca01290d144735e48c4a83eea34773be5f52