Den nuværende situation
Forskerne havde en ubehagelig overraskelse for to uger siden, efter frigivelsen af den første Cisco rapport om ondsindet annonce fordeling kampagne, hvorefter malvertising netværk af Kyle og Stan har omkring ni gange større rækkevidde end den først rapporteret. De forsker fik chancen for at se på de telemetri data, og på den måde fandt de, at der næsten 6500 ondsindede domæner har været involveret. Dette er cirka ni gange mere end det oprindelige antal 703 ondsindede domæner, der oprindeligt blev rapporteret. Rapporten Cisco viste desuden, at antallet af tilslutninger henvises til disse domæner er 31 000, hvilket er mere end tre gange ved den oprindeligt rapporteret 9 541 tilslutninger.
Forskerne
To af forskere fra malvertising netværk af Kyle og Stan, Armin Pelkmann og Craig Williams, spores tilbage angrebet til 2012 og fandt ud af, at det har været aktiv i en meget længere periode, end det først blev rapporteret.
→»Vi synes, det har været en rimelig vellykket kampagne [for angriberen],’ Sagde Williams, 'Tallene svarer til det antal gange, et angreb blev detekteret og blokeret af en Cisco sikkerhedsanordning. I betragtning af antallet af gange, vi har set det, Vi synes, det er væsentligt.’
Angrebene den Kyle og Stan malvertising netværk
Den malvertising netværk af Kyle og Stan er forskellig fra de andre skadelige net af samme type på to måder - først, det har været i stand til at sætte annoncer på meget store og populære websites såsom Amazon; og anden, netværket har visse Mac OS X og Windows varianter af malware.
Ifølge de malware forskere, når en bestemt offer er kompromitteret, en unik spin på malware når maskinen og hver tur har subtile forskelle i dens emballage, hvilket resulterer i en generation af unikke MD5 checksum. Når offeret besøger et websted, der er vært for en sådan ondsindet annonce, browseren på offeret omdirigeres to gange. Brugerne af Mac og Windows sendes til en webadresse, der er vært for en skræddersyet malware til hver platform. Når malware når den endelige download-URL, browser hijacker eller spyware, det automatisk downloadet til maskinen, der er kompromitteret, eller pc-bruger er narret til at installere det, som det er bundlet med lovlig software som en medieafspiller.
Hvordan Kyle og Stan malvertising netværk arbejde
Malware forskere har vendt malware filer for at finde ud af, at der er en enestående del i hver fil, hvilket gør beregne checksum helt anderledes. Det betyder, at Kyle og Stan malvertising netværk anvender avancerede teknikker for at gemme og rod op de data, der er tilgængelige på webstedet. Denne metode bruges af cyberkriminelle for at vildlede antivirus-system på computeren og de andre afsløring systemer, der anvendes.
Den malvertising kampagne for Kyle og Stan netværk er meget vellykket som når angriberen lykkes at få en ondsindet annonce på netværket ved lovligt vært en annonce og betale et netværk til at distribuere det eller ved at kompromittere en vært serverer annonce, hackeren kan vokse en meget hurtig kampagne, end når malware distribueret gennem phishing e-mails eller spam.
Fremtiden for Malware
Malware forskere siger, at malvertising netværk af Kyle og Stan er et eksempel på den næste malware evolution. Det er kendetegnet ved indstøbning i de hjemmesider, som giver meget gode resultater. For eksempel, selv om det kun én procent af de besøgende på websitet se annoncen, dette betyder højere succesrate end den, der følger af en spam-kampagne.
De forbrugere, der er mest modtagelige for malvertising infektioner er dem, der bruger teknologier på deres enheder med mindre end tilstrækkelig afsløring. Blandt de ting, der kan hjælpe her, er at slukke JavaScript, når der ikke er behov for det, og ved hjælp af Ad Block-programmet.
