Фильм Кристофера Нолана «Одиссея» — одна из самых громких кинопремьер года, и мошенники не замедлили этим воспользоваться. Уже через несколько часов после выхода фильма мы обнаружили мошеннические схемы, нацеленные на людей, ищущих пиратские копии. Некоторые из них использовали поддельные предупреждения браузера на пиратских сайтах, а другие маскировали вредоносное ПО под файлы для скачивания фильма.
Некоторые использовали поддельные сообщения об ошибках браузера, призванные перенаправлять пользователей через сети вредоносной рекламы. Другие предлагали, казалось бы, загрузку фильмов, которые на самом деле оказывались Windows , замаскированными под видеофайлы.
Ни одна из этих афер не имеет никакого отношения к самому фильму. Просто мошенники пользуются тем, что люди ищут информацию о популярной новой картине.
Обнаруженные нами мошеннические схемы, связанные с пиратской версией игры «Одиссея»
Мы выделили две основные тактики.
Один из них использовал поддельные всплывающие окна, в которых утверждалось, что в браузере отсутствует необходимый «компонент». Нажатие кнопки «Исправить сейчас» не решало никаких проблем. Оно просто перенаправляло посетителей в сеть вредоносной рекламы. Куда именно приводили эти перенаправления, зависело от того, какую именно рекламную кампанию сеть проводила в данный момент.
Во втором случае речь шла о файле, рекламируемом как The Odyssey 2026 1080p WEBRip-LAMA. Однако после загрузки оказалось, что это .exe файл. Это Windows , а не видео.
Фильмы не обязательно должны запускаться как программы. Если предполагаемая загрузка фильма заканчивается .exe, это не фильм.
Поддельное предупреждение «Обнаружена проблема с браузером»
На клонированных пиратских сайтах, где размещены торренты с фильмом «Одиссея», мы столкнулись с поддельным всплывающим окном браузера с сообщением «Обнаружена проблема с браузером». В нем содержалось предупреждение о том, что «отсутствующий компонент» препятствует полному доступу. В окне была хорошо заметная кнопка «Исправить сейчас», а под ней — гораздо меньшие по размеру кнопки «Закрыть» и «Продолжить просмотр ».
Никаких недостающих компонентов браузера не было. Все всплывающее окно было частью самой веб-страницы и было оформлено так, чтобы выглядеть как подлинное предупреждение браузера.
Особенно интересным это было тем, насколько последовательно оно появлялось. Мы обнаружили одну и ту же накладку — с идентичной формулировкой и идентичным макетом, в которой изменились лишь фирменные цвета — на нескольких клонированных торрент-сайтах.
Это были не настоящие торрент-трекеры, а убедительные копии, созданные с целью имитации известных пиратских сайтов: на них воспроизводились реальные макеты списков файлов, обложки и информация об актерском составе фильма «Одиссея», а сверху отображалось поддельное предупреждение браузера. В совокупности клонированные сайты и идентичные всплывающие окна явно указывают на скоординированную кампанию, направленную на перехват поисковых запросов по крупному новому релизу, а не на взлом легальных торрент-сайтов.
Нажатие кнопки «Исправить сейчас» обычно приводит к тому, что посетители проходят через один или несколько рекламных переходов. В зависимости от того, какая рекламная кампания активна в данный момент, пользователи в конечном итоге могут попасть на:
- Поддельное расширение для браузера
- Вредоносное ПО, призывающее пользователей позвонить по поддельному номеру службы технической поддержки
- Еще одно перенаправление, цель которого — заразить компьютер вредоносным ПО
Конечный адрес может меняться от одного посещения к другому, поскольку рекламная сеть, лежащая в основе сайта, со временем меняет контент, который она показывает.
Фильм, который на самом деле оказался телепередачей
Вторая афера была направлена против тех, кто действительно пытался скачать этот фильм. Мы также обнаружили объявление под названием The Odyssey 2026 1080p WEBRip-LAMA.exe, рекламируемый как 1080p WEBRip релиз с 597 сеерами и 520 личерами.
Windows определила загруженный файл как приложение, что подтвердило то, о чём уже говорило расширение файла.
При законной загрузке фильмов используются такие видеоконтейнеры, как .mkv, .mp4, или .avi. Эти файлы открываются медиаплеером, они не выполняют код.
Обратили на себя внимание и некоторые другие детали.
В описании файла было указано «беспроводная шина Business Controller», что не имеет никакого отношения к воспроизведению видео и, вероятно, представляет собой оставшиеся метаданные от какого-то программного обеспечения, которое изначально использовалось для создания исполняемого файла.
Файл также отображал знакомый оранжевый значок VLC Media Player в виде дорожного конуса, несмотря на то что это было приложение, а не видеофайл. Это классический приём социальной инженерии. VLC — один из самых популярных в мире медиаплееров, поэтому многие люди инстинктивно ассоциируют его значок с безобидным видео. В папке «Загрузки» файл выглядит так, будто его можно смело открыть двойным щелчком, хотя на самом деле при этом запускается неизвестная программа с вашими собственными пользовательскими правами.
Файлы, упакованные таким образом (с вводящими в заблуждение расширениями, поддельными значками и несогласованными метаданными), являются широко распространенным способом распространения вредоносного ПО.
Купили что-то, чего не следовало?
То, что запускается после того, как пользователь открывает файл, зависит от конкретной кампании. Это может быть:
- Троян, открывающий бэкдор в системе
- Программа для кражи данных, которая похищает сохраненные пароли и сеансы браузера
- Загрузчик, который скачивает дополнительное вредоносное ПО
- В некоторых случаях программы-вымогатели
Стоит также помнить, что большое количество сееров не является доказательством безопасности файла. Это лишь свидетельствует о том, что им делятся многие пользователи, а немало людей неосознанно распространяют вредоносные файлы.
Почему эти мошеннические схемы срабатывают
Ни одна из этих афер не была основана на использовании уязвимости программного обеспечения.
Вместо этого оба полагались на то, что им удастся убедить кого-то сделать следующий шаг: нажать на поддельное предупреждение в браузере или запустить файл, который, как они полагали, был фильмом.
Программам безопасности гораздо сложнее полностью предотвратить подобные угрозы, поскольку браузеры не могут с достаточной точностью отличить подлинное сообщение браузера от сообщения, полностью отображаемого в HTML-коде веб-страницы. Аналогичным образом, антивирусные программы не могут пометить каждый исполняемый файл только потому, что он использует вводящий в заблуждение значок или содержит необычные метаданные, поскольку подобные особенности присущи и многим легитимным приложениям.
Программное обеспечение для обеспечения безопасности по-прежнему играет важную роль. Оно может блокировать известные вредоносные веб-сайты, обнаруживать вредоносное ПО после его идентификации и предотвращать многие вредоносные загрузки или перенаправления до их завершения.
Однако, учитывая, что «фильм», заканчивающийся на .exe «Это никогда не было настоящим фильмом» — по-прежнему остается одной из самых простых и эффективных проверок безопасности, которую пользователи могут провести самостоятельно.
Что делать, если вы могли быть затронуты
- Если вы нажали кнопку «Исправить сейчас» и после этого произошла неожиданная загрузка или открытие какого-либо файла, запустите полное Malwarebytes .
- Если вы запустили якобы фильм, который оказался
.exe, отключите компьютер от сети, выполните полное сканирование на наличие вредоносных программ и воздержитесь от использования устройства для банковских операций, работы с электронной почтой или доступа к другим конфиденциальным учетным записям до тех пор, пока не убедитесь, что оно не заражено. - Проверьте, нет ли в вашем браузере расширений, которые вы не помните, что устанавливали, и удалите все незнакомые.
- Если вы запустили неизвестную программу, смените пароли к важным учетным записям с другого, надежного устройства.
- Относитесь с подозрением к любому пиратскому «фильму», который не представлен в стандартном видеоформате. Не существует никаких обоснованных причин, по которым загруженный фильм мог бы представлять собой Windows .
Заключительные мысли
Вредоносная реклама, связанная с пиратством, и программы-распространители поддельных фильмов по-прежнему существуют, поскольку им не нужно быть сложными. Им достаточно лишь достаточно популярного названия, чтобы гарантировать поисковой трафик. Эпическая картина в формате IMAX с бюджетом в 250 миллионов долларов, предпродажа билетов на которую велась в течение года, — это практически гарантия трафика в условиях пиратской экономики, и именно поэтому эти мошеннические схемы появились уже через несколько часов после дня премьеры, а не через несколько недель.
Если вы скачиваете фильм и вам предлагается что-то установить, исправить настройки браузера или запустить .exe, то, скорее всего, вы скачиваете не фильм. Вы скачиваете программу, которая может заразить ваш компьютер.
Пресекайте угрозы, пока они не нанесли ущерб.
Malwarebytes Browser Guard автоматическиBrowser Guard фишинговые страницы и вредоносные сайты. Бесплатно, устанавливается одним щелчком мыши. Добавьте его в свой браузер →
