Jak hakerzy wykorzystują fałszywe strony narzędzi open source do przechwytywania kliknięć i dystrybucji złośliwego oprogramowania

Pobieranie zaufanego narzędzia open source, takiego jak Ghidra czy SpiderFoot, z wyników wyszukiwarki Google stało się dziś działaniem wysokiego ryzyka. Badacze cyberbezpieczeństwa z firmy Check Point udokumentowali wyrafinowaną kampanię rozprzestrzeniania malware'u, która cynicznie wykorzystuje to zaufanie. Operacja, opisana w raporcie z 3 czerwca 2026 roku, opiera się na sieci profesjonalnie zaprojektowanych fałszywych stron internetowych, które przechwytują ruch użytkowników i przepuszczają go przez bramkowany system, by selektywnie dostarczać złośliwe ładunki .

Nie jest to zwykły phishing. Kampania łączy w sobie manipulację wynikami wyszukiwania, przechwytywanie kliknięć za pomocą skryptów JavaScript hostowanych na Amazon CloudFront oraz wielowarstwowy, utrudniający analizę System Dystrybucji Ruchu (TDS), by unikać wykrycia i atakować wyłącznie najcenniejsze cele. Główny motyw jest finansowy: Check Point ocenia, że jest to przede wszystkim schemat pozyskiwania i monetyzacji ruchu, który służy również jako rurociąg dystrybucyjny dla innych grup przestępczych .

Łańcuch ataku: Od kliknięcia w wyszukiwarce do złośliwego ładunku

Infekcja rozpoczyna się, gdy użytkownik szuka popularnego narzędzia open source. Atakujący stworzyli flotę fałszywych witryn, które podszywają się pod legalne strony projektów, takich jak Ghidra, dnSpy i SpiderFoot. Strony te są dobrze zaprojektowane, często odwołują się do prawdziwych zasobów i zajmują wysokie pozycje w wynikach wyszukiwania, na pierwszy rzut oka wyglądając jak autentyczne portale projektów .

Techniczne oszustwo uruchamia się w momencie interakcji. Gdy ofiara klika przycisk „pobierz” na jednej z tych stron, warstwa JavaScript hostowana w infrastrukturze CloudFront zamienia to pierwsze kliknięcie w przekierowanie. W ten sposób użytkownik zostaje porwany do infrastruktury TDS kampanii .

Bramkowany System Dystrybucji Ruchu: Filtrowanie wartościowych celów

TDS działa jak wyrafinowany strażnik, a nie prosty mechanizm przekierowujący. Analiza Check Point ujawnia, że stosuje on wielowarstwowe mechanizmy anty-analityczne i filtrujące, by oddzielić prawdziwe ofiary od badaczy bezpieczeństwa, środowisk testowych (sandbox) i zautomatyzowanych robotów. Tylko użytkownicy, którzy pomyślnie przejdą te testy, są kierowani do ostatecznych złośliwych ładunków . To selektywne dostarczanie utrudnia zmapowanie kampanii i zwiększa wartość każdej udanej infekcji dla operatorów. Aby jeszcze skuteczniej unikać wykrycia, system używa technik takich jak klucze sesyjne i jednorazowe wydania kluczy .

Trio malware'ów: RemusStealer, AnimateClipper i SessionGate

W ramach kampanii zaobserwowano dostarczanie trzech różnych rodzin złośliwego oprogramowania, z których każda służy innemu celowi zarobkowemu.

• RemusStealer: To oparte na subskrypcji narzędzie typu Infostealer w modelu Malware-as-a-Service (MaaS), sprzedawane w cenach od 250 do 500 dolarów. Jego celem jest szeroki zakres wrażliwych danych, w tym dane logowania z ponad 20 przeglądarek, dane z ponad 220 rozszerzeń portfeli kryptowalutowych, menedżerów haseł i narzędzi do uwierzytelniania dwuskładnikowego (2FA) .
• AnimateClipper: Klipier kryptowalutowy zaprojektowany do przechwytywania transakcji w czasie rzeczywistym poprzez podmianę skopiowanego przez użytkownika adresu portfela na adres kontrolowany przez atakującego. Jest w stanie monitorować i przechwytywać transakcje w ponad 20 różnych ekosystemach blockchain .
• SessionGate: Ten nieudokumentowany wcześniej framework to wieloetapowy loader, który wykorzystuje silne zaciemnianie kodu i szeroko zakrojone mechanizmy anty-analityczne, by dostarczać potencjalnie niechciane aplikacje (PUA) lub inne ładunki. W obserwowanych łańcuchach ataków pełni rolę początkowego punktu oparcia i loadera .

Globalna, długotrwała operacja

Skala kampanii jest znacząca. Check Point donosi, że ekosystem jest aktywny od końca 2025 roku i wygenerował ponad 5000 zgłoszeń w serwisie VirusTotal, co wskazuje na szeroką bazę ofiar. Główne cele geograficzne obejmują cały świat, przy czym największą aktywność odnotowano w Polsce, Turcji, Brazylii, Niemczech, Francji, Rosji i Wielkiej Brytanii .

Dla programistów i specjalistów ds. bezpieczeństwa wniosek jest jasny i pilny. Czasy swobodnego pobierania narzędzia na podstawie wyniku wyszukiwania dobiegły końca. Użytkownicy muszą koniecznie weryfikować, czy znajdują się na oficjalnym repozytorium projektu, bezpośrednio odwiedzać znane strony na GitHubie lub GitLabie i być podejrzliwymi wobec każdego pobierania, które nie dostarcza natychmiast oczekiwanego pliku. Profesjonalizm tych fałszywych witryn sprawia, że sama kontrola wzrokowa jest niewystarczającą obroną przed ekosystemem zbudowanym na skradzionym zaufaniu i zautomatyzowanym oszustwie.