Os operadores do SolarMarker estão usando envenenamento de Search Engine Optimization (SEO) para encher milhares de PDFs com dezenas de milhares de páginas cheias de palavras-chave e links que visam fazer redirecionamentos que levam ao malware. O SolarMarker é um malware de backdoor que rouba dados e credenciais dos navegadores.
Segundo a Microsoft Security Intelligence, o ataque funciona usando documentos PDF projetados para classificação nos resultados da pesquisa. Para conseguir isso, os invasores preencheram esses documentos com mais de 10 páginas de palavras-chave em uma ampla variedade de tópicos, desde “formulário de seguro” e “aceitação de contrato” a “como ingressar no SQL” e “respostas matemáticas”.
Os pesquisadores observaram que esses invasores usaram o Google Sites para hospedar esses documentos. Em campanhas recentes, os atacantes passaram a usar principalmente o Amazon Web Services e o Strikingly.
Quando abertos, os PDFs solicitam que os usuários baixem um arquivo .doc ou uma versão .pdf das informações desejadas. Os usuários que clicam nos links são redirecionados por 5 a 7 sites com TLDs como .site, .tk e .ga.
Os pesquisadores dizem ainda que após vários redirecionamentos, os usuários chegam a um site controlado pelo invasor, que imita o Google Drive, e são solicitados a baixar o arquivo, que normalmente é o malware SolarMarker/Jupyter. Também foram vistos arquivos aleatórios sendo baixados em uma tática de evasão de detecção/análise.
Comentários Recomendados
Não há comentários para mostrar.
Participe da conversa
Você pode postar agora e se cadastrar mais tarde. Se você tem uma conta, faça o login para postar com sua conta.