В рекламе Google Ads обнаружили убедительную схему с фиктивной блокировкой компьютеров

Что произошло

Мошеннические объявления распространялись по всему интернету, в том числе на популярных сайтах с картами, прогнозами погоды, объявлениями о недвижимости, размещением документов и спортивной информацией.

После перехода по объявлению браузер показывал поддельное предупреждение о заражении устройства и призывал немедленно позвонить в службу поддержки. Позвонивших могли убеждать заплатить крупную сумму, предоставить удаленный доступ к компьютеру или раскрыть личные сведения.

Как работала схема

Программный набор, использованный в кампании, был рассчитан на имитацию настоящего заражения. Адресная строка браузера исчезала, предупреждение занимало весь экран, а клавиша Escape и другие клавиши могли переставать работать.

Браузер начинал работать медленнее, страницы загружались с задержками и воспроизводились звуки. Сообщения призывали не перезапускать компьютер и сразу звонить по указанному номеру, а попытка закрыть браузер обновляла мошенническое предупреждение.

Предупреждение появлялось только после движения мыши. Программный код хранился в зашифрованном виде и расшифровывался непосредственно в памяти браузера, что могло осложнять обнаружение некоторыми средствами защиты и фильтрами рекламы Google.

Почему это важно

Netskope наблюдала переходы по вредоносным объявлениям у пользователей из 619 организаций, однако заблокировала содержимое, поэтому в ее выборке никто не стал жертвой мошенников. Компания видит лишь небольшую часть интернет-активности, и общее число столкнувшихся с рекламой пользователей, включая возможных пострадавших, вероятно, выше.

В Google заявили, что расследуют кампании и примут меры против аккаунтов, нарушающих правила. Компания не сообщила, почему ее системы пропустили схему, и не подтвердила, что объявления полностью удалены.

Контекст

По оценке Netskope, такая техника превращает обычный клик по рекламе в убедительную имитацию отказа компьютера и подталкивает человека к звонку мошенникам. При этом устройство на самом деле не блокируется.