Malvertising-Betrug mit Google Ads

Cybersicherheitsforscher haben eine neue Malvertising-Kampagne aufgedeckt, die sich an Einzelpersonen und Unternehmen richtet, die über Google Ads werben. Bei diesem Schema handelt es sich um irreführende Anzeigen, die sich als Google Ads selbst ausgeben und die Opfer in Phishing-Fallen locken, die darauf abzielen, ihre Anmeldeinformationen zu stehlen.

Ziel ist die Übernahme des Kontos

Das Hauptziel der Angreifer besteht darin, so viele Google Ads-Konten wie möglich zu kapern. Indem sie Opfer auf gefälschte Anmeldeseiten umleiten, stehlen sie Anmeldeinformationen, die sie zur Ausweitung ihrer Kampagnen wiederverwenden könnten. Darüber hinaus werden diese missbrauchten Konten wahrscheinlich in Untergrundforen verkauft. Berichte auf Reddit, Bluesky und den Supportforen von Google deuten darauf hin, dass diese Aktivität seit mindestens Mitte November 2024 andauert.

Ähnlichkeiten mit Taktiken für Facebook-Geschäftskonten

Die in dieser Kampagne verwendeten Taktiken ähneln stark denen früherer Angriffe auf Facebook-Geschäfts- und Werbekonten. In diesen Fällen setzten Cyberkriminelle Stealer-Malware ein, um unbefugten Zugriff zu erlangen und die gekaperten Konten für gefälschte Werbekampagnen zu verwenden, die die Malware weiter verbreiteten.

Suchmaschinen-Ausnutzung und Umleitungstaktiken

Die Bedrohungsakteure haben ihre Kampagne so konzipiert, dass sie angezeigt wird, wenn Benutzer in der Suchmaschine von Google nach „Google Ads“ suchen. Wenn Benutzer auf diese betrügerischen Anzeigen klicken, gelangen sie zu Phishing-Sites, die auf Google Sites gehostet werden. Diese Sites leiten die Besucher dann auf externe Phishing-Seiten weiter, die Anmeldeinformationen und Codes für die Zwei-Faktor-Authentifizierung (2FA) erfassen. Die gesammelten Daten werden dann über WebSocket an einen externen Server übertragen, der von den Angreifern verwaltet wird.

Nutzung der URL-Richtlinien von Google Ads

Eine Schlüsselstrategie, die diesen Angriff ermöglicht, ist die Richtlinie von Google Ads, die es zulässt, dass die endgültige URL (die Zielseite nach dem Klicken auf eine Anzeige) von der angezeigten URL abweicht, solange die Domänen übereinstimmen. Diese Lücke ermöglicht es Angreifern, zwischengeschaltete Phishing-Seiten auf Google Sites zu hosten und gleichzeitig URLs anzuzeigen, die wie legitime Google Ads-Links aussehen.

Fortgeschrittene Ausweichtechniken

Um der Entdeckung zu entgehen, verwenden die Angreifer verschiedene Techniken, darunter Fingerprinting, Anti-Bot-Erkennung, Cloaking, CAPTCHA-inspirierte Köder und Verschleierungsmethoden, die die wahre Natur ihrer Phishing-Infrastruktur verbergen. Diese Taktiken helfen ihnen, Sicherheitsmaßnahmen zu umgehen und zu vermeiden, von automatisierten Systemen erkannt zu werden.

Kompromittierte Konten als Waffe einsetzen

Sobald ein Konto kompromittiert ist, melden sich Angreifer an, fügen einen neuen Administrator hinzu und nutzen das Anzeigenbudget des Opfers, um betrügerische Google-Anzeigen zu schalten. Auf diese Weise können sie ihre Phishing-Aktivitäten weiter ausbauen und einen Kreislauf in Gang setzen, in dem gekaperte Konten dazu verwendet werden, noch mehr Opfer anzulocken.

Mögliche Verbindungen zu Bedrohungsakteuren mit Sitz in Brasilien

Es gibt Hinweise darauf, dass hinter diesen Kampagnen mehrere Einzelpersonen oder Gruppen stecken. Besonders hervorzuheben ist, dass viele von ihnen Portugiesisch sprechen und wahrscheinlich von Brasilien aus agieren. Die Phishing-Infrastruktur nutzt Zwischendomänen mit der portugiesischen Top-Level-Domain (TLD) .pt, was diese Hypothese weiter stützt.

Googles Reaktion auf betrügerische Werbung

Google hat diese böswilligen Kampagnen erkannt und überwacht sein Werbenetzwerk aktiv, um Missbrauch zu verhindern. Das Unternehmen ergreift strenge Maßnahmen gegen betrügerische Werbetreibende, die versuchen, Benutzer über ihre Unternehmen, Produkte oder Dienstleistungen in die Irre zu führen.

Milliarden von Anzeigen entfernt, um Bedrohungen zu bekämpfen

Allein im Jahr 2023 entfernte Google über 3,4 Milliarden Anzeigen, schränkte mehr als 5,7 Milliarden Anzeigen ein und sperrte etwa 5,6 Millionen Werbekonten. Davon wurden 206,5 Millionen Anzeigen ausdrücklich wegen Verstoßes gegen Googles Richtlinie zur Falschdarstellung blockiert. Diese Zahlen unterstreichen den anhaltenden Kampf gegen betrügerische Werbung und Googles Engagement für die Wahrung der Anzeigenintegrität.