Film „Odyseja” Christophera Nolana to jedna z największych premier filmowych tego roku, a oszuści nie zwlekali z wykorzystaniem tej okazji. Już w ciągu kilku godzin od premiery filmu wykryliśmy oszustwa wymierzone w osoby poszukujące pirackich kopii. Niektórzy wykorzystywali fałszywe ostrzeżenia przeglądarki na stronach z pirackimi treściami, podczas gdy inni podszywali złośliwe oprogramowanie pod pliki do pobrania z filmem.
Niektórzy wykorzystywali fałszywe komunikaty o błędach przeglądarki, mające na celu przekierowanie użytkowników do sieci zawierających złośliwe reklamy. Inni oferowali pliki, które wyglądały na filmy do pobrania, a w rzeczywistości były Windows zamaskowanymi jako pliki wideo.
Żadne z tych oszustw nie ma nic wspólnego z samym filmem. Po prostu wykorzystują one osoby szukające informacji o popularnej nowości filmowej.
Oszustwa związane z pirackimi wersjami gry „The Odyssey”, które wykryliśmy
Zaobserwowaliśmy dwie główne taktyki.
Jedna z nich wykorzystywała fałszywe okienka wyskakujące, sugerujące, że w przeglądarce brakuje wymaganego „komponentu”. Kliknięcie przycisku „Napraw teraz” nie rozwiązywało żadnego problemu. Po prostu przekierowywało użytkowników do sieci zawierającej złośliwe reklamy. To, dokąd dokładnie prowadziły te przekierowania, zależało od kampanii, którą dana sieć wyświetlała w danym momencie.
Drugi dotyczył pliku reklamowanego jako The Odyssey 2026 1080p WEBRip-LAMA. Po pobraniu okazało się jednak, że jest to .exe plik. To Windows , a nie plik wideo.
Filmy nie muszą być uruchamiane jako programy. Jeśli rzekome pobieranie filmu kończy się .exe, to nie jest film.
Fałszywe ostrzeżenie „Wykryto problem z przeglądarką”
Na sklonowanych stronach pirackich, na których udostępniano pliki torrent z filmem „Odyseja”, natrafiliśmy na fałszywe okienko wyskakujące w przeglądarce z komunikatem „Wykryto problem z przeglądarką”. Ostrzegało ono, że „brakujący komponent” uniemożliwia pełny dostęp. Wyświetlało ono dobrze widoczny przycisk „Napraw teraz”, a poniżej – znacznie mniejsze opcje „Zamknij” i „Kontynuuj przeglądanie ”.
Nie brakowało żadnego elementu przeglądarki. Całe wyskakujące okienko stanowiło część samej strony internetowej i zostało zaprojektowane tak, aby wyglądało jak autentyczne ostrzeżenie przeglądarki.
Szczególnie interesujące było to, jak konsekwentnie się to pojawiało. Na wielu sklonowanych stronach z torrentami znaleźliśmy tę samą nakładkę — z identycznym tekstem i identycznym układem, w której zmieniono jedynie kolory firmowe.
Nie były to prawdziwe serwisy torrentowe, lecz przekonujące kopie zaprojektowane tak, by podszywać się pod znane strony pirackie – odtwarzały one rzeczywisty układ listy plików, grafiki oraz informacje o obsadzie filmu „Odyseja”, a następnie wyświetlały na górze fałszywe ostrzeżenie przeglądarki. Biorąc pod uwagę zarówno sklonowane strony internetowe, jak i identyczne wyskakujące okienka, wszystko to zdecydowanie wskazuje na skoordynowaną kampanię mającą na celu przechwycenie wyników wyszukiwań dotyczących dużej nowości filmowej, a nie na przypadek włamania do legalnych serwisów torrentowych.
Kliknięcie przycisku „Napraw teraz” zazwyczaj powoduje przekierowanie odwiedzających przez jedną lub więcej stron reklamowych. W zależności od tego, która kampania jest w danym momencie aktywna, użytkownicy mogą ostatecznie trafić na:
- Fałszywe rozszerzenie przeglądarki
- Oprogramowanie typu scareware, nakłaniające użytkowników do zadzwonienia pod fałszywy numer pomocy technicznej
- Kolejne przekierowanie mające na celu dostarczenie złośliwego oprogramowania
Ostateczny adres docelowy może się różnić w zależności od wizyty, ponieważ sieć reklamowa z czasem zmienia wyświetlane treści.
Film, który w rzeczywistości był programem
Drugie oszustwo było wymierzone w osoby, które faktycznie próbowały pobrać ten film. Znaleźliśmy również wpis o nazwie The Odyssey 2026 1080p WEBRip-LAMA.exe, reklamowany jako 1080p WEBRip Wersja z 597 użytkownikami udostępniającymi pliki i 520 pobierającymi.
Windows zidentyfikował pobrany plik jako aplikację, potwierdzając tym samym to, co wskazywało już rozszerzenie pliku.
Legalne pliki do pobrania z filmami wykorzystują formaty kontenerowe, takie jak .mkv, .mp4lub .avi. Pliki te są otwierane przez odtwarzacz multimedialny i nie powodują wykonania kodu.
Na uwagę zasługiwało jeszcze kilka innych szczegółów.
W opisie pliku widniał napis „wireless bus Business Controller”, co nie ma nic wspólnego z odtwarzaniem wideo i prawdopodobnie stanowiło pozostałość metadanych po oprogramowaniu, które pierwotnie posłużyło do stworzenia pliku wykonywalnego.
Plik wyświetlał również znaną pomarańczową ikonę w kształcie pachołka drogowego programu VLC Media Player, mimo że był to program, a nie plik wideo. To klasyczny chwyt z zakresu inżynierii społecznej. VLC jest jednym z najczęściej używanych odtwarzaczy multimedialnych na świecie, więc wiele osób instynktownie kojarzy jego ikonę z nieszkodliwym plikiem wideo. W folderze pobranych plików plik ten wygląda na coś, co można bezpiecznie otworzyć dwukrotnym kliknięciem, podczas gdy w rzeczywistości takie działanie powoduje uruchomienie nieznanego programu z uprawnieniami użytkownika.
Pliki spakowane w ten sposób (z mylącymi rozszerzeniami, sfałszowanymi ikonami i niespójnymi metadanymi) stanowią powszechnie stosowaną technikę rozpowszechniania złośliwego oprogramowania.
Zabrałeś coś, czego nie powinieneś?
To, co uruchamia się po otwarciu pliku przez użytkownika, zależy od kampanii. Może to być:
- Trojan, który otwiera tylne drzwi do systemu
- Program wykradający dane, który kradnie zapisane hasła i sesje przeglądarki
- Program pobierający dodatkowe złośliwe oprogramowanie
- W niektórych przypadkach oprogramowanie ransomware
Warto też pamiętać, że duża liczba osób udostępniających plik nie oznacza, że jest on bezpieczny. Wskazuje to jedynie, że wiele osób go udostępnia, a spora część z nich nieświadomie rozpowszechnia złośliwe pliki.
Dlaczego te oszustwa się sprawdzają
Żadne z tych oszustw nie polegało na wykorzystaniu luki w zabezpieczeniach oprogramowania.
Zamiast tego obaj polegali na tym, by przekonać kogoś do wykonania kolejnego kroku: kliknięcia fałszywego ostrzeżenia przeglądarki lub uruchomienia pliku, który ofiara uważała za film.
Oprogramowaniu zabezpieczającemu znacznie trudniej jest całkowicie temu zapobiec, ponieważ przeglądarki nie są w stanie niezawodnie odróżnić autentycznego komunikatu przeglądarki od komunikatu wygenerowanego w całości w kodzie HTML strony internetowej. Podobnie oprogramowanie antywirusowe nie może oznaczyć każdego pliku wykonywalnego tylko dlatego, że wykorzystuje on mylącą ikonę lub zawiera nietypowe metadane, ponieważ wiele legalnych aplikacji również to robi.
Oprogramowanie zabezpieczające nadal odgrywa ważną rolę. Może ono blokować znane złośliwe strony internetowe, wykrywać złośliwe oprogramowanie po jego zidentyfikowaniu oraz powstrzymywać wiele złośliwych pobrań lub przekierowań, zanim dojdą do skutku.
Jednak biorąc pod uwagę, że „film” kończy się w .exe „To nigdy nie jest tak naprawdę film” pozostaje jedną z najprostszych i najskuteczniejszych metod sprawdzania bezpieczeństwa, jakie użytkownicy mogą przeprowadzić samodzielnie.
Co zrobić, jeśli możesz być narażony na ryzyko
- Jeśli kliknąłeś przycisk „Napraw teraz”, a po tym nastąpiło nieoczekiwane pobranie lub otwarcie jakiegoś pliku, uruchom pełne Malwarebytes .
- Jeśli wyświetliłeś rzekomy film, który okazał się być
.exe, odłącz komputer od sieci, przeprowadź pełne skanowanie w poszukiwaniu złośliwego oprogramowania i unikaj korzystania z urządzenia do obsługi bankowości, poczty elektronicznej lub innych wrażliwych kont, dopóki nie upewnisz się, że jest ono wolne od złośliwego oprogramowania. - Sprawdź, czy w przeglądarce nie ma rozszerzeń, których nie pamiętasz, że instalowałeś, i usuń wszystkie nieznane.
- Jeśli uruchomiłeś nieznany program, zmień hasła do ważnych kont na innym, zaufanym urządzeniu.
- Każdy piracki „film”, który nie jest w standardowym formacie wideo, należy traktować jako podejrzany. Nie ma żadnego uzasadnionego powodu, dla którego pobrany film miałby być Windows .
Podsumowanie
Złośliwe reklamy powiązane z piractwem oraz programy rozprzestrzeniające fałszywe filmy utrzymują się na rynku, ponieważ nie muszą być skomplikowane. Wystarczy im tytuł na tyle popularny, by zagwarantować ruch z wyszukiwarek. Epicki film w formacie IMAX o budżecie 250 milionów dolarów, który ma za sobą rok przedsprzedaży biletów, to w gospodarce pirackiej niemal gwarancja ruchu – właśnie dlatego oszustwa te pojawiły się już w ciągu kilku godzin od premiery, a nie dopiero kilka tygodni później.
Jeśli pobierasz film i pojawi się prośba o zainstalowanie czegoś, naprawienie przeglądarki lub uruchomienie pliku .exe, to prawie na pewno nie pobierasz filmu. Pobierasz oprogramowanie, które może zainfekować twój komputer.
Powstrzymaj zagrożenia, zanim wyrządzą jakąkolwiek szkodę.
Malwarebytes Browser Guard automatycznieBrowser Guard strony phishingowe i złośliwe witryny. Bezpłatny, wystarczy jedno kliknięcie, aby zainstalować. Dodaj go do swojej przeglądarki →
