נוזקת כופר תוקפת משתמשי אתרים גדולים דרך פרסומות

קמפיין נוזקות כופר גרם נזק לגולשים ברחבי העולם. רוב קורבנות הנוזקה היו גולשי אתרים ידועים כמו "הניו יורק טיימס", ה-BBC, הפורטל של מיקורוסופט MSN וגולשי AOL. עד כה דווח על עשרות אלפי הדבקות של משתמשים. מדיווח של אתר ArsTechnica עולה שהנוזקה תוקפת דרך מודעות ופרסומות.

ההאקרים הצליחו להזריק את הנוזקות למספר רשתות פרסום גדולות. על פי חוקרים ממעבדות SpiderLabs, הקמפיין נבנה מלכתחילה כדי לתקוף משתמשים של אתרים גדולים. הפצת הנוזקה התבססה על רשתות פרסום של ספקים גדולים, שדרכן מעבירים מפרסמים מיליוני מודעות ביום. בין הרשתות שנפלו קורבן גם גוגל, AppNexis, AOL ו-רוביקון.

ההאקרים רכשו דומיינים של מפרסמים שהבעלות עליהם פגה

השיטה עבדה באופן הבא: דומיינים של מפרסמים שננטשו או שתאריך פקיעת הבעלות עליהם עבר נרכשו בידי גורם לא ידוע. דומיינים אלה כבר היו ידועים כשייכים למפרסמים לגיטימיים - כך שרשתות ההפצה הניחו שהפרסומות שהפיצו אמיתיות. ההאקרים השתילו בפרסומות קוד זדוני ששלח למחשב של הקורבן סדרה של בדיקות שתשאלו אותו על תוכנות אבטחת המידע המותקנות עליו.

ברגע שזוהתה פרצה שניתנת לניצול, הפרסומת הזריקה קישור זדוני, שחיבר את מחשב הקורבן לשרת עליו התיישבה הנוזקה. זו נשלחה למחשב ואז החלה לפעול כנוזקת כופר - דהיינו הצפה של תכנים ומידע ושליחת בקשת כופר על מנת לשחרר את הקבצים המוצפנים. החוקרים של SpiderLabs, דניאל צ'צ'יק, סימון קנין ורמי קוגן, מצאו שמחשבי הקורבנות הודבקו גם בווירוס טרויאני בשם Bedep, כי אם אפשר אחד אז למה לא שניים.

כל החוקרים שבדקו את הקמפיין החדש הגיעו למסקנה ששימוש בהרחבות של צד שלישי מהווה לא פעם גורם מסכן, מפני שחלק גדול מהפרצות נמצאו בתוספים כגון, פלאש, ג'אווה, סילברלייט או אחרים. נכון שעבור אתרים רבים ניטרולם עשוי למנוע שירותים או תכנים - אך אלה עשויים לעלות ביוקר.