Falske Ghidra- og SpiderFoot-sider spreder malware via sofistikeret trafiksystem
En omfattende malware kampagne afsløret af Check Point den 3. juni 2026 bruger professionelt designede falske sider for værktøjer som Ghidra til at lede brugere ind i et gated Traffic Distribution System (TDS), der le...
Udgivet afRedigeret med DeepSeek-V4-ProBilleder genereret med GPT Image 1.5
En omfattende malware kampagne afsløret af Check Point den 3. juni 2026 bruger professionelt designede falske sider for værktøjer som Ghidra til at lede brugere ind i et gated Traffic Distribution System (TDS), der le...
Operationen har været aktiv siden slutningen af 2025 og har genereret over 5.000 VirusTotal indberetninger fra ofre, primært i Tyrkiet, Polen, Brasilien og Tyskland.
Angrebskæden starter i søgeresultater for populære open source værktøjer, kaprer det første klik på en download knap via CloudFront hostet JavaScript og filtrerer brugere gennem et multi lags anti analyse TDS.
What is the sprawling malware campaign documented by Check Point on June 3, 2026, that uses fake open-source tool websites impersonating plaAI-generated editorial hero image for What is the sprawling malware campaign documented by Check Point on June 3, 2026, that uses fake open-source tool websites impersonating pla.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What is the sprawling malware campaign documented by Check Point on June 3, 2026, that uses fake open-source tool websites impersonating pla. Article summary: This is the campaign documented by **Check Point Research on June 3, 2026**, titled **"Impersonation, Click Hijacking, and TDS: Inside a Malware Distribution Ecosystem"** [6]. Here is a summary of the key findings direct. Topic tags: general, education, general web. Reference image context from search candidates: Reference image 1: visual subject "Cybersecurity researchers have flagged a large-scale operation that impersonates open-source and freeware projects to funnel unsuspecting users through a Traffic Distribution Syste" source context "Fake Sites Mimicking Open-Source Tools Rank High on Google to ..." Reference image 2: visual subject "# Fake Open-Source
openai.com
At downloade et betroet open-source sikkerhedsværktøj som Ghidra eller SpiderFoot fra et søgeresultat er blevet en højrisikoaktivitet. Cybersikkerhedsforskere hos Check Point har dokumenteret en sofistikeret og vidtrækkende malware-distributionskampagne, der netop udnytter denne tillid. Operationen, der er beskrevet i en rapport fra 3. juni 2026, er afhængig af et netværk af professionelt designede kopi-hjemmesider, der opsnapper brugertrafik og sender den gennem et låst system for selektivt at levere ondsindede nyttelaster .
Dette er ikke et simpelt phishing-forsøg. Kampagnen kombinerer søgemaskinemanipulation, klikkapring via Amazon CloudFront-hostet JavaScript og et multi-lags anti-analyse Traffic Distribution System (TDS) for at undgå opdagelse og kun målrette de mest værdifulde ofre. Slutmålet er primært økonomisk: Check Point vurderer, at operationen grundlæggende er en trafikanskaffelses- og monetiseringsordning, der også fungerer som en distributionspipeline for andre malware-distributører .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Falske Ghidra- og SpiderFoot-sider spreder malware via sofistikeret trafiksystem"?
En omfattende malware kampagne afsløret af Check Point den 3. juni 2026 bruger professionelt designede falske sider for værktøjer som Ghidra til at lede brugere ind i et gated Traffic Distribution System (TDS), der le...
What are the key points to validate first?
En omfattende malware kampagne afsløret af Check Point den 3. juni 2026 bruger professionelt designede falske sider for værktøjer som Ghidra til at lede brugere ind i et gated Traffic Distribution System (TDS), der le... Operationen har været aktiv siden slutningen af 2025 og har genereret over 5.000 VirusTotal indberetninger fra ofre, primært i Tyrkiet, Polen, Brasilien og Tyskland.
What should I do next in practice?
Angrebskæden starter i søgeresultater for populære open source værktøjer, kaprer det første klik på en download knap via CloudFront hostet JavaScript og filtrerer brugere gennem et multi lags anti analyse TDS.
Falske Ghidra- og SpiderFoot-sider spreder malware via sofistikeret trafiksystem
En omfattende malware kampagne afsløret af Check Point den 3. juni 2026 bruger professionelt designede falske sider for værktøjer som Ghidra til at lede brugere ind i et gated Traffic Distribution System (TDS), der le...
Udgivet afRedigeret med DeepSeek-V4-ProBilleder genereret med GPT Image 1.5
En omfattende malware kampagne afsløret af Check Point den 3. juni 2026 bruger professionelt designede falske sider for værktøjer som Ghidra til at lede brugere ind i et gated Traffic Distribution System (TDS), der le...
Operationen har været aktiv siden slutningen af 2025 og har genereret over 5.000 VirusTotal indberetninger fra ofre, primært i Tyrkiet, Polen, Brasilien og Tyskland.
Angrebskæden starter i søgeresultater for populære open source værktøjer, kaprer det første klik på en download knap via CloudFront hostet JavaScript og filtrerer brugere gennem et multi lags anti analyse TDS.
What is the sprawling malware campaign documented by Check Point on June 3, 2026, that uses fake open-source tool websites impersonating plaAI-generated editorial hero image for What is the sprawling malware campaign documented by Check Point on June 3, 2026, that uses fake open-source tool websites impersonating pla.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What is the sprawling malware campaign documented by Check Point on June 3, 2026, that uses fake open-source tool websites impersonating pla. Article summary: This is the campaign documented by **Check Point Research on June 3, 2026**, titled **"Impersonation, Click Hijacking, and TDS: Inside a Malware Distribution Ecosystem"** [6]. Here is a summary of the key findings direct. Topic tags: general, education, general web. Reference image context from search candidates: Reference image 1: visual subject "Cybersecurity researchers have flagged a large-scale operation that impersonates open-source and freeware projects to funnel unsuspecting users through a Traffic Distribution Syste" source context "Fake Sites Mimicking Open-Source Tools Rank High on Google to ..." Reference image 2: visual subject "# Fake Open-Source
openai.com
At downloade et betroet open-source sikkerhedsværktøj som Ghidra eller SpiderFoot fra et søgeresultat er blevet en højrisikoaktivitet. Cybersikkerhedsforskere hos Check Point har dokumenteret en sofistikeret og vidtrækkende malware-distributionskampagne, der netop udnytter denne tillid. Operationen, der er beskrevet i en rapport fra 3. juni 2026, er afhængig af et netværk af professionelt designede kopi-hjemmesider, der opsnapper brugertrafik og sender den gennem et låst system for selektivt at levere ondsindede nyttelaster .
Dette er ikke et simpelt phishing-forsøg. Kampagnen kombinerer søgemaskinemanipulation, klikkapring via Amazon CloudFront-hostet JavaScript og et multi-lags anti-analyse Traffic Distribution System (TDS) for at undgå opdagelse og kun målrette de mest værdifulde ofre. Slutmålet er primært økonomisk: Check Point vurderer, at operationen grundlæggende er en trafikanskaffelses- og monetiseringsordning, der også fungerer som en distributionspipeline for andre malware-distributører .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Falske Ghidra- og SpiderFoot-sider spreder malware via sofistikeret trafiksystem"?
En omfattende malware kampagne afsløret af Check Point den 3. juni 2026 bruger professionelt designede falske sider for værktøjer som Ghidra til at lede brugere ind i et gated Traffic Distribution System (TDS), der le...
What are the key points to validate first?
En omfattende malware kampagne afsløret af Check Point den 3. juni 2026 bruger professionelt designede falske sider for værktøjer som Ghidra til at lede brugere ind i et gated Traffic Distribution System (TDS), der le... Operationen har været aktiv siden slutningen af 2025 og har genereret over 5.000 VirusTotal indberetninger fra ofre, primært i Tyrkiet, Polen, Brasilien og Tyskland.
What should I do next in practice?
Angrebskæden starter i søgeresultater for populære open source værktøjer, kaprer det første klik på en download knap via CloudFront hostet JavaScript og filtrerer brugere gennem et multi lags anti analyse TDS.
Infektionen begynder, når en bruger søger efter et populært open-source værktøj. Angriberne har oprettet en flåde af falske hjemmesider, der efterligner legitime projektsider for software som Ghidra, dnSpy og SpiderFoot. Disse sider er veldesignede, refererer ofte til rigtige upstream-ressourcer og rangerer højt i søgeresultaterne, så de ved første øjekast ligner legitime projektportaler .
Den tekniske bedrageri udløses ved brugerinteraktion. Når et offer klikker på en "download"-knap på en af disse sider, omdanner et CloudFront-hostet JavaScript-lag det første klik til en omdirigering. Dette kaprer brugeren ind i kampagnens TDS-infrastruktur .
Gated Traffic Distribution System: Filtrering efter højværdi-mål
TDS fungerer som en sofistikeret gatekeeper, ikke blot en omdirigering. Check Points analyse viser, at det anvender multi-lags anti-analyse og filtrering for at adskille rigtige ofre fra sikkerhedsforskere, sandkasser og automatiserede crawlers. Kun brugere, der består disse kontroller, sendes videre til de endelige malware-nyttelaster . Denne selektive levering gør kampagnen sværere at kortlægge og øger værdien af hver vellykket infektion for operatørerne. For yderligere at undgå opdagelse bruger systemet teknikker som sessionsnøgler og engangsnøgleudgivelser .
Malware-trioen: RemusStealer, AnimateClipper og SessionGate
Kampagnen er blevet observeret leverende tre forskellige malware-familier, hver med deres eget monetiseringsformål.
RemusStealer: Dette er et abonnementsbaseret infostealer Malware-as-a-Service (MaaS) værktøj, der markedsføres til $250–$500. Det målretter en bred vifte af følsomme data, herunder legitimationsoplysninger fra over 20 browsere, data fra mere end 220 cryptocurrency wallet-udvidelser, password managers og 2FA-værktøjer .
AnimateClipper: En cryptocurrency clipper designet til at kapre transaktioner i realtid ved at bytte den wallet-adresse, en bruger kopierer, med en, der kontrolleres af angriberen. Den er i stand til at overvåge og opsnappe transaktioner på tværs af over 20 forskellige blockchain-økosystemer .
SessionGate: Dette tidligere udokumenterede framework er en multi-stage loader, der bruger tung obfuskering og omfattende anti-analyse til at levere potentielt uønskede applikationer (PUA'er) eller andre nyttelaster. Det fungerer som det indledende fodfæste og loader i de observerede angrebskæder .
En global, langvarig operation
Omfanget af kampagnen er betydeligt. Check Point rapporterer, at økosystemet har været aktivt siden slutningen af 2025 og har genereret over 5.000 VirusTotal-indberetninger, hvilket indikerer en bred pulje af ofre. De primære geografiske mål spænder over hele kloden, med stor aktivitet koncentreret i Tyrkiet, Polen, Brasilien, Tyskland, Frankrig, Rusland og Storbritannien .
For udviklere og sikkerhedsprofessionelle er budskabet klart og presserende. Tiden, hvor man tankeløst kunne downloade et værktøj baseret på et søgeresultat, er forbi. Brugere bør verificere, at de er på et officielt projektlager, gå direkte til en kendt GitHub- eller GitLab-side og være mistænksomme over for enhver download, der ikke straks leverer den forventede fil. Professionalismen af disse falske sider gør visuel inspektion alene til en utilstrækkelig forsvarsmekanisme mod et økosystem bygget på stjålet tillid og automatiseret bedrag.
rescana.com
Active Exploitation Alert: Fake Open-Source Software Sites ...
Infektionen begynder, når en bruger søger efter et populært open-source værktøj. Angriberne har oprettet en flåde af falske hjemmesider, der efterligner legitime projektsider for software som Ghidra, dnSpy og SpiderFoot. Disse sider er veldesignede, refererer ofte til rigtige upstream-ressourcer og rangerer højt i søgeresultaterne, så de ved første øjekast ligner legitime projektportaler .
Den tekniske bedrageri udløses ved brugerinteraktion. Når et offer klikker på en "download"-knap på en af disse sider, omdanner et CloudFront-hostet JavaScript-lag det første klik til en omdirigering. Dette kaprer brugeren ind i kampagnens TDS-infrastruktur .
Gated Traffic Distribution System: Filtrering efter højværdi-mål
TDS fungerer som en sofistikeret gatekeeper, ikke blot en omdirigering. Check Points analyse viser, at det anvender multi-lags anti-analyse og filtrering for at adskille rigtige ofre fra sikkerhedsforskere, sandkasser og automatiserede crawlers. Kun brugere, der består disse kontroller, sendes videre til de endelige malware-nyttelaster . Denne selektive levering gør kampagnen sværere at kortlægge og øger værdien af hver vellykket infektion for operatørerne. For yderligere at undgå opdagelse bruger systemet teknikker som sessionsnøgler og engangsnøgleudgivelser .
Malware-trioen: RemusStealer, AnimateClipper og SessionGate
Kampagnen er blevet observeret leverende tre forskellige malware-familier, hver med deres eget monetiseringsformål.
RemusStealer: Dette er et abonnementsbaseret infostealer Malware-as-a-Service (MaaS) værktøj, der markedsføres til $250–$500. Det målretter en bred vifte af følsomme data, herunder legitimationsoplysninger fra over 20 browsere, data fra mere end 220 cryptocurrency wallet-udvidelser, password managers og 2FA-værktøjer .
AnimateClipper: En cryptocurrency clipper designet til at kapre transaktioner i realtid ved at bytte den wallet-adresse, en bruger kopierer, med en, der kontrolleres af angriberen. Den er i stand til at overvåge og opsnappe transaktioner på tværs af over 20 forskellige blockchain-økosystemer .
SessionGate: Dette tidligere udokumenterede framework er en multi-stage loader, der bruger tung obfuskering og omfattende anti-analyse til at levere potentielt uønskede applikationer (PUA'er) eller andre nyttelaster. Det fungerer som det indledende fodfæste og loader i de observerede angrebskæder .
En global, langvarig operation
Omfanget af kampagnen er betydeligt. Check Point rapporterer, at økosystemet har været aktivt siden slutningen af 2025 og har genereret over 5.000 VirusTotal-indberetninger, hvilket indikerer en bred pulje af ofre. De primære geografiske mål spænder over hele kloden, med stor aktivitet koncentreret i Tyrkiet, Polen, Brasilien, Tyskland, Frankrig, Rusland og Storbritannien .
For udviklere og sikkerhedsprofessionelle er budskabet klart og presserende. Tiden, hvor man tankeløst kunne downloade et værktøj baseret på et søgeresultat, er forbi. Brugere bør verificere, at de er på et officielt projektlager, gå direkte til en kendt GitHub- eller GitLab-side og være mistænksomme over for enhver download, der ikke straks leverer den forventede fil. Professionalismen af disse falske sider gør visuel inspektion alene til en utilstrækkelig forsvarsmekanisme mod et økosystem bygget på stjålet tillid og automatiseret bedrag.
rescana.com
Active Exploitation Alert: Fake Open-Source Software Sites ...
