Väärennetyt Ghidra- ja SpiderFoot-sivustot levittävät haittaohjelmia hienostuneen liikenteenohjausjärjestelmän avulla
Check Pointin 3.6.2026 paljastama haittaohjelmakampanja käyttää ammattimaisesti suunniteltuja väärennettyjä verkkosivustoja, jotka jäljittelevät työkaluja kuten Ghidra, dnSpy ja SpiderFoot. Kampanja on ollut käynnissä vuodesta 2025 lähtien ja on tuottanut yli 5 000 VirusTotal ilmoitusta.
JulkaisijaMuokattu mallilla DeepSeek-V4-ProKuvat luotu mallilla GPT Image 1.5
Check Pointin 3.6.2026 paljastama haittaohjelmakampanja käyttää ammattimaisesti suunniteltuja väärennettyjä verkkosivustoja, jotka jäljittelevät työkaluja kuten Ghidra, dnSpy ja SpiderFoot.
Kampanja on ollut käynnissä vuodesta 2025 lähtien ja on tuottanut yli 5 000 VirusTotal ilmoitusta.
Hyökkäysketju alkaa hakukonetuloksista: uhri klikkaa latauslinkkiä, CloudFront palvelimella isännöity JavaScript kaappaa klikkauksen ja ohjaa käyttäjän TDS järjestelmään.
What is the sprawling malware campaign documented by Check Point on June 3, 2026, that uses fake open-source tool websites impersonating plaAI-generated editorial hero image for What is the sprawling malware campaign documented by Check Point on June 3, 2026, that uses fake open-source tool websites impersonating pla.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What is the sprawling malware campaign documented by Check Point on June 3, 2026, that uses fake open-source tool websites impersonating pla. Article summary: This is the campaign documented by **Check Point Research on June 3, 2026**, titled **"Impersonation, Click Hijacking, and TDS: Inside a Malware Distribution Ecosystem"** [6]. Here is a summary of the key findings direct. Topic tags: general, education, general web. Reference image context from search candidates: Reference image 1: visual subject "Cybersecurity researchers have flagged a large-scale operation that impersonates open-source and freeware projects to funnel unsuspecting users through a Traffic Distribution Syste" source context "Fake Sites Mimicking Open-Source Tools Rank High on Google to ..." Reference image 2: visual subject "# Fake Open-Source
openai.com
Luotetun avoimen lähdekoodin tietoturvatyökalun, kuten Ghidran tai SpiderFootin, lataaminen hakukonetuloksen kautta on muodostunut erittäin riskialttiiksi toimeksi. Check Pointin kyberturvallisuustutkijat ovat dokumentoineet hienostuneen ja laajan haittaohjelmien levityskampanjan, joka hyödyntää juuri tätä luottamusta. Operaatio, joka kuvattiin yksityiskohtaisesti 3. kesäkuuta 2026 julkaistussa raportissa, perustuu ammattimaisesti suunniteltujen jäljitelmäsivustojen verkostoon, joka kaappaa käyttäjien liikenteen ja ohjaa sen porteilla varustetun järjestelmän läpi toimittaakseen haittaohjelmia valikoiduille uhreille .
Kyseessä ei ole yksinkertainen tietojenkalastelu. Kampanja yhdistää hakukonemanipulaation, Amazon CloudFront-palvelimella isännöidyn JavaScriptin kautta toteutetun klikkauskaappauksen ja monikerroksisen analyysinestojärjestelmän (Traffic Distribution System, TDS) välttääkseen havaitsemisen ja kohdistaakseen iskunsa vain kaikkein arvokkaimpiin uhreihin. Check Pointin arvion mukaan toiminnan ensisijainen tavoite on rahallinen: kyseessä on liikenteen hankinta- ja rahastusjärjestelmä, joka toimii samalla jakelukanavana muille haittaohjelmien levittäjille .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Väärennetyt Ghidra- ja SpiderFoot-sivustot levittävät haittaohjelmia hienostuneen liikenteenohjausjärjestelmän avulla"?
Check Pointin 3.6.2026 paljastama haittaohjelmakampanja käyttää ammattimaisesti suunniteltuja väärennettyjä verkkosivustoja, jotka jäljittelevät työkaluja kuten Ghidra, dnSpy ja SpiderFoot.
What are the key points to validate first?
Check Pointin 3.6.2026 paljastama haittaohjelmakampanja käyttää ammattimaisesti suunniteltuja väärennettyjä verkkosivustoja, jotka jäljittelevät työkaluja kuten Ghidra, dnSpy ja SpiderFoot. Kampanja on ollut käynnissä vuodesta 2025 lähtien ja on tuottanut yli 5 000 VirusTotal ilmoitusta.
What should I do next in practice?
Hyökkäysketju alkaa hakukonetuloksista: uhri klikkaa latauslinkkiä, CloudFront palvelimella isännöity JavaScript kaappaa klikkauksen ja ohjaa käyttäjän TDS järjestelmään.
Väärennetyt Ghidra- ja SpiderFoot-sivustot levittävät haittaohjelmia hienostuneen liikenteenohjausjärjestelmän avulla
Check Pointin 3.6.2026 paljastama haittaohjelmakampanja käyttää ammattimaisesti suunniteltuja väärennettyjä verkkosivustoja, jotka jäljittelevät työkaluja kuten Ghidra, dnSpy ja SpiderFoot. Kampanja on ollut käynnissä vuodesta 2025 lähtien ja on tuottanut yli 5 000 VirusTotal ilmoitusta.
JulkaisijaMuokattu mallilla DeepSeek-V4-ProKuvat luotu mallilla GPT Image 1.5
Check Pointin 3.6.2026 paljastama haittaohjelmakampanja käyttää ammattimaisesti suunniteltuja väärennettyjä verkkosivustoja, jotka jäljittelevät työkaluja kuten Ghidra, dnSpy ja SpiderFoot.
Kampanja on ollut käynnissä vuodesta 2025 lähtien ja on tuottanut yli 5 000 VirusTotal ilmoitusta.
Hyökkäysketju alkaa hakukonetuloksista: uhri klikkaa latauslinkkiä, CloudFront palvelimella isännöity JavaScript kaappaa klikkauksen ja ohjaa käyttäjän TDS järjestelmään.
What is the sprawling malware campaign documented by Check Point on June 3, 2026, that uses fake open-source tool websites impersonating plaAI-generated editorial hero image for What is the sprawling malware campaign documented by Check Point on June 3, 2026, that uses fake open-source tool websites impersonating pla.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What is the sprawling malware campaign documented by Check Point on June 3, 2026, that uses fake open-source tool websites impersonating pla. Article summary: This is the campaign documented by **Check Point Research on June 3, 2026**, titled **"Impersonation, Click Hijacking, and TDS: Inside a Malware Distribution Ecosystem"** [6]. Here is a summary of the key findings direct. Topic tags: general, education, general web. Reference image context from search candidates: Reference image 1: visual subject "Cybersecurity researchers have flagged a large-scale operation that impersonates open-source and freeware projects to funnel unsuspecting users through a Traffic Distribution Syste" source context "Fake Sites Mimicking Open-Source Tools Rank High on Google to ..." Reference image 2: visual subject "# Fake Open-Source
openai.com
Luotetun avoimen lähdekoodin tietoturvatyökalun, kuten Ghidran tai SpiderFootin, lataaminen hakukonetuloksen kautta on muodostunut erittäin riskialttiiksi toimeksi. Check Pointin kyberturvallisuustutkijat ovat dokumentoineet hienostuneen ja laajan haittaohjelmien levityskampanjan, joka hyödyntää juuri tätä luottamusta. Operaatio, joka kuvattiin yksityiskohtaisesti 3. kesäkuuta 2026 julkaistussa raportissa, perustuu ammattimaisesti suunniteltujen jäljitelmäsivustojen verkostoon, joka kaappaa käyttäjien liikenteen ja ohjaa sen porteilla varustetun järjestelmän läpi toimittaakseen haittaohjelmia valikoiduille uhreille .
Kyseessä ei ole yksinkertainen tietojenkalastelu. Kampanja yhdistää hakukonemanipulaation, Amazon CloudFront-palvelimella isännöidyn JavaScriptin kautta toteutetun klikkauskaappauksen ja monikerroksisen analyysinestojärjestelmän (Traffic Distribution System, TDS) välttääkseen havaitsemisen ja kohdistaakseen iskunsa vain kaikkein arvokkaimpiin uhreihin. Check Pointin arvion mukaan toiminnan ensisijainen tavoite on rahallinen: kyseessä on liikenteen hankinta- ja rahastusjärjestelmä, joka toimii samalla jakelukanavana muille haittaohjelmien levittäjille .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Väärennetyt Ghidra- ja SpiderFoot-sivustot levittävät haittaohjelmia hienostuneen liikenteenohjausjärjestelmän avulla"?
Check Pointin 3.6.2026 paljastama haittaohjelmakampanja käyttää ammattimaisesti suunniteltuja väärennettyjä verkkosivustoja, jotka jäljittelevät työkaluja kuten Ghidra, dnSpy ja SpiderFoot.
What are the key points to validate first?
Check Pointin 3.6.2026 paljastama haittaohjelmakampanja käyttää ammattimaisesti suunniteltuja väärennettyjä verkkosivustoja, jotka jäljittelevät työkaluja kuten Ghidra, dnSpy ja SpiderFoot. Kampanja on ollut käynnissä vuodesta 2025 lähtien ja on tuottanut yli 5 000 VirusTotal ilmoitusta.
What should I do next in practice?
Hyökkäysketju alkaa hakukonetuloksista: uhri klikkaa latauslinkkiä, CloudFront palvelimella isännöity JavaScript kaappaa klikkauksen ja ohjaa käyttäjän TDS järjestelmään.
Tartunta alkaa, kun käyttäjä etsii suosittua avoimen lähdekoodin työkalua. Hyökkääjät ovat luoneet joukon väärennettyjä verkkosivustoja, jotka jäljittelevät projektien, kuten Ghidran, dnSpyn ja SpiderFootin, virallisia sivuja. Nämä sivustot on suunniteltu ammattimaisesti, ne viittaavat usein aitoihin resursseihin ja nousevat hakukonetuloksissa korkealle, jolloin ne näyttävät ensisilmäyksellä laillisilta projektiportaaleilta .
Tekninen petos käynnistyy, kun uhri klikkaa sivuston latauspainiketta. CloudFront-palvelimella isännöity JavaScript muuttaa ensimmäisen klikkauksen uudelleenohjaukseksi, joka vie käyttäjän kampanjan TDS-infrastruktuuriin .
Porteilla varustettu liikenteenohjausjärjestelmä: Suodatetaan arvokkaimmat kohteet
TDS toimii hienostuneena portinvartijana, eikä se ole pelkkä uudelleenohjaus. Check Pointin analyysi paljastaa, että se käyttää monikerroksista analyysinestoa ja suodatusta erottaakseen aidot uhrit tietoturvatutkijoista, hiekkalaatikoista ja automaattisista roboteista. Vain käyttäjät, jotka läpäisevät nämä tarkistukset, ohjataan varsinaisiin haittaohjelmiin . Tämä valikoiva toimitus vaikeuttaa kampanjan kartoittamista ja lisää jokaisen onnistuneen tartunnan arvoa operaattoreille. Järjestelmä käyttää myös istuntokohtaisia avaimia ja kertakäyttöisiä avainjulkaisuja havaitsemisen vaikeuttamiseksi .
Haittaohjelmakolmikko: RemusStealer, AnimateClipper ja SessionGate
Kampanjassa on havaittu kolme erillistä haittaohjelmaperhettä, joista jokainen palvelee eri rahastustarkoitusta.
RemusStealer: Tämä on tilauspohjainen tietovarasohjelmisto (Malware-as-a-Service, MaaS), jonka hinta on 250–500 dollaria. Se kohdistuu laajaan kirjoon arkaluonteisia tietoja, kuten tunnistetietoja yli 20 selaimesta, tietoja yli 220 kryptovaluuttalompakon laajennuksesta, salasanojen hallintaohjelmia ja kaksivaiheisen todennuksen työkaluista .
AnimateClipper: Kryptovaluuttaleikkaaja, joka on suunniteltu kaappaamaan tapahtumia reaaliajassa vaihtamalla käyttäjän kopioima lompakko-osoite hyökkääjän hallitsemaan osoitteeseen. Se pystyy valvomaan ja sieppaamaan tapahtumia yli 20 eri lohkoketjuekosysteemissä .
SessionGate: Aiemmin dokumentoimaton monivaiheinen lataaja, joka käyttää voimakasta hämärtämistä (obfuskointia) ja laajaa analyysinestoa toimittaakseen mahdollisesti ei-toivottuja sovelluksia (PUA) tai muita haittaohjelmia. Se toimii havainnoiduissa hyökkäysketjuissa ensimmäisenä jalansijana ja lataajana .
Maailmanlaajuinen, pitkäkestoinen operaatio
Kampanjan laajuus on merkittävä. Check Point raportoi, että ekosysteemi on ollut aktiivinen vuoden 2025 lopusta lähtien ja on tuottanut yli 5 000 VirusTotal-ilmoitusta, mikä viittaa laajaan uhririntamaan. Ensisijaiset maantieteelliset kohteet ulottuvat ympäri maailmaa, ja eniten aktiviteettia on keskittynyt Turkkiin, Puolaan, Brasiliaan, Saksaan, Ranskaan, Venäjälle ja Isoon-Britanniaan .
Kehittäjille ja tietoturva-ammattilaisille opetus on selvä ja kiireellinen. Aika, jolloin työkalun pystyi lataamaan hakukonetuloksen perusteella ilman huolta, on ohi. Käyttäjien on varmistettava, että he ovat virallisella projektivarastossa (repository), mentävä suoraan tunnetulle GitHub- tai GitLab-sivulle, ja suhtauduttava epäluuloisesti mihin tahansa lataukseen, joka ei toimita odotettua tiedostoa välittömästi. Väärennettyjen sivustojen ammattimaisuus tekee pelkästä silmämääräisestä tarkastuksesta riittämättömän suojan järjestelmää vastaan, joka on rakennettu varastetulle luottamukselle ja automatisoidulle petokselle.
rescana.com
Active Exploitation Alert: Fake Open-Source Software Sites ...
Tartunta alkaa, kun käyttäjä etsii suosittua avoimen lähdekoodin työkalua. Hyökkääjät ovat luoneet joukon väärennettyjä verkkosivustoja, jotka jäljittelevät projektien, kuten Ghidran, dnSpyn ja SpiderFootin, virallisia sivuja. Nämä sivustot on suunniteltu ammattimaisesti, ne viittaavat usein aitoihin resursseihin ja nousevat hakukonetuloksissa korkealle, jolloin ne näyttävät ensisilmäyksellä laillisilta projektiportaaleilta .
Tekninen petos käynnistyy, kun uhri klikkaa sivuston latauspainiketta. CloudFront-palvelimella isännöity JavaScript muuttaa ensimmäisen klikkauksen uudelleenohjaukseksi, joka vie käyttäjän kampanjan TDS-infrastruktuuriin .
Porteilla varustettu liikenteenohjausjärjestelmä: Suodatetaan arvokkaimmat kohteet
TDS toimii hienostuneena portinvartijana, eikä se ole pelkkä uudelleenohjaus. Check Pointin analyysi paljastaa, että se käyttää monikerroksista analyysinestoa ja suodatusta erottaakseen aidot uhrit tietoturvatutkijoista, hiekkalaatikoista ja automaattisista roboteista. Vain käyttäjät, jotka läpäisevät nämä tarkistukset, ohjataan varsinaisiin haittaohjelmiin . Tämä valikoiva toimitus vaikeuttaa kampanjan kartoittamista ja lisää jokaisen onnistuneen tartunnan arvoa operaattoreille. Järjestelmä käyttää myös istuntokohtaisia avaimia ja kertakäyttöisiä avainjulkaisuja havaitsemisen vaikeuttamiseksi .
Haittaohjelmakolmikko: RemusStealer, AnimateClipper ja SessionGate
Kampanjassa on havaittu kolme erillistä haittaohjelmaperhettä, joista jokainen palvelee eri rahastustarkoitusta.
RemusStealer: Tämä on tilauspohjainen tietovarasohjelmisto (Malware-as-a-Service, MaaS), jonka hinta on 250–500 dollaria. Se kohdistuu laajaan kirjoon arkaluonteisia tietoja, kuten tunnistetietoja yli 20 selaimesta, tietoja yli 220 kryptovaluuttalompakon laajennuksesta, salasanojen hallintaohjelmia ja kaksivaiheisen todennuksen työkaluista .
AnimateClipper: Kryptovaluuttaleikkaaja, joka on suunniteltu kaappaamaan tapahtumia reaaliajassa vaihtamalla käyttäjän kopioima lompakko-osoite hyökkääjän hallitsemaan osoitteeseen. Se pystyy valvomaan ja sieppaamaan tapahtumia yli 20 eri lohkoketjuekosysteemissä .
SessionGate: Aiemmin dokumentoimaton monivaiheinen lataaja, joka käyttää voimakasta hämärtämistä (obfuskointia) ja laajaa analyysinestoa toimittaakseen mahdollisesti ei-toivottuja sovelluksia (PUA) tai muita haittaohjelmia. Se toimii havainnoiduissa hyökkäysketjuissa ensimmäisenä jalansijana ja lataajana .
Maailmanlaajuinen, pitkäkestoinen operaatio
Kampanjan laajuus on merkittävä. Check Point raportoi, että ekosysteemi on ollut aktiivinen vuoden 2025 lopusta lähtien ja on tuottanut yli 5 000 VirusTotal-ilmoitusta, mikä viittaa laajaan uhririntamaan. Ensisijaiset maantieteelliset kohteet ulottuvat ympäri maailmaa, ja eniten aktiviteettia on keskittynyt Turkkiin, Puolaan, Brasiliaan, Saksaan, Ranskaan, Venäjälle ja Isoon-Britanniaan .
Kehittäjille ja tietoturva-ammattilaisille opetus on selvä ja kiireellinen. Aika, jolloin työkalun pystyi lataamaan hakukonetuloksen perusteella ilman huolta, on ohi. Käyttäjien on varmistettava, että he ovat virallisella projektivarastossa (repository), mentävä suoraan tunnetulle GitHub- tai GitLab-sivulle, ja suhtauduttava epäluuloisesti mihin tahansa lataukseen, joka ei toimita odotettua tiedostoa välittömästi. Väärennettyjen sivustojen ammattimaisuus tekee pelkästä silmämääräisestä tarkastuksesta riittämättömän suojan järjestelmää vastaan, joka on rakennettu varastetulle luottamukselle ja automatisoidulle petokselle.
rescana.com
Active Exploitation Alert: Fake Open-Source Software Sites ...
