Как хакеры используют поддельные сайты инструментов с открытым кодом для перехвата кликов и распространения вредоносного ПО
Масштабная вредоносная кампания, раскрытая Check Point 3 июня 2026 года, использует профессионально выглядящие поддельные сайты утилит, таких как Ghidra, для перенаправления пользователей в изолированную систему распр... Операция активна с конца 2025 года и сгенерировала более 5000 загрузок на VirusTotal от жертв в...
ОпубликовалОтредактировано с помощью DeepSeek-V4-ProИзображения созданы с помощью GPT Image 1.5
Масштабная вредоносная кампания, раскрытая Check Point 3 июня 2026 года, использует профессионально выглядящие поддельные сайты утилит, таких как Ghidra, для перенаправления пользователей в изолированную систему распр...
Операция активна с конца 2025 года и сгенерировала более 5000 загрузок на VirusTotal от жертв в Турции, Польше, Бразилии и Германии; по оценкам Check Point, это масштабная схема монетизации трафика.
Атака начинается с поисковой выдачи по популярным open source программам, перехватывает первый клик по кнопке «Скачать» через JavaScript слой на CloudFront и фильтрует пользователей через многоуровневую TDS с защитой...
What is the sprawling malware campaign documented by Check Point on June 3, 2026, that uses fake open-source tool websites impersonating plaAI-generated editorial hero image for What is the sprawling malware campaign documented by Check Point on June 3, 2026, that uses fake open-source tool websites impersonating pla.
Промпт ИИ
Create a landscape editorial hero image for this Studio Global article: What is the sprawling malware campaign documented by Check Point on June 3, 2026, that uses fake open-source tool websites impersonating pla. Article summary: This is the campaign documented by **Check Point Research on June 3, 2026**, titled **"Impersonation, Click Hijacking, and TDS: Inside a Malware Distribution Ecosystem"** [6]. Here is a summary of the key findings direct. Topic tags: general, education, general web. Reference image context from search candidates: Reference image 1: visual subject "Cybersecurity researchers have flagged a large-scale operation that impersonates open-source and freeware projects to funnel unsuspecting users through a Traffic Distribution Syste" source context "Fake Sites Mimicking Open-Source Tools Rank High on Google to ..." Reference image 2: visual subject "# Fake Open-Source
openai.com
Простой поиск и загрузка проверенного open-source-инструмента для специалистов по кибербезопасности, такого как Ghidra или SpiderFoot, превратились в опаснейшее занятие. Исследователи Check Point задокументировали сложную и масштабную кампанию по распространению вредоносного ПО, которая безжалостно эксплуатирует именно это доверие. Операция, подробно описанная в отчете от 3 июня 2026 года, опирается на сеть профессионально сделанных сайтов-двойников, которые перехватывают запросы пользователей и прогоняют их через закрытую «воронку» для избирательной доставки зловредов .
Речь идет не о банальном фишинге. Эта кампания объединяет манипуляции с поисковой выдачей, перехват кликов через JavaScript, размещенный на площадке Amazon CloudFront, и многоуровневую систему распределения трафика (Traffic Distribution System, TDS) с защитой от анализа, чтобы избегать обнаружения и атаковать только самых ценных жертв. Конечная цель — сугубо финансовая: в Check Point пришли к выводу, что операция в первую очередь является схемой по привлечению и монетизации трафика, которая также служит каналом дистрибуции для других распространителей вредоносного ПО .
Studio Global AI
Продолжайте свое исследование
На этой странице есть ответ, подтвержденный источником, который вы можете продолжить внутри Studio Global.
Каков краткий ответ на вопрос «Как хакеры используют поддельные сайты инструментов с открытым кодом для перехвата кликов и распространения вредоносного ПО»?
Масштабная вредоносная кампания, раскрытая Check Point 3 июня 2026 года, использует профессионально выглядящие поддельные сайты утилит, таких как Ghidra, для перенаправления пользователей в изолированную систему распр...
Какие ключевые моменты необходимо проверить в первую очередь?
Масштабная вредоносная кампания, раскрытая Check Point 3 июня 2026 года, использует профессионально выглядящие поддельные сайты утилит, таких как Ghidra, для перенаправления пользователей в изолированную систему распр... Операция активна с конца 2025 года и сгенерировала более 5000 загрузок на VirusTotal от жертв в Турции, Польше, Бразилии и Германии; по оценкам Check Point, это масштабная схема монетизации трафика.
Что мне делать дальше на практике?
Атака начинается с поисковой выдачи по популярным open source программам, перехватывает первый клик по кнопке «Скачать» через JavaScript слой на CloudFront и фильтрует пользователей через многоуровневую TDS с защитой...
Как хакеры используют поддельные сайты инструментов с открытым кодом для перехвата кликов и распространения вредоносного ПО
Масштабная вредоносная кампания, раскрытая Check Point 3 июня 2026 года, использует профессионально выглядящие поддельные сайты утилит, таких как Ghidra, для перенаправления пользователей в изолированную систему распр... Операция активна с конца 2025 года и сгенерировала более 5000 загрузок на VirusTotal от жертв в...
ОпубликовалОтредактировано с помощью DeepSeek-V4-ProИзображения созданы с помощью GPT Image 1.5
Масштабная вредоносная кампания, раскрытая Check Point 3 июня 2026 года, использует профессионально выглядящие поддельные сайты утилит, таких как Ghidra, для перенаправления пользователей в изолированную систему распр...
Операция активна с конца 2025 года и сгенерировала более 5000 загрузок на VirusTotal от жертв в Турции, Польше, Бразилии и Германии; по оценкам Check Point, это масштабная схема монетизации трафика.
Атака начинается с поисковой выдачи по популярным open source программам, перехватывает первый клик по кнопке «Скачать» через JavaScript слой на CloudFront и фильтрует пользователей через многоуровневую TDS с защитой...
What is the sprawling malware campaign documented by Check Point on June 3, 2026, that uses fake open-source tool websites impersonating plaAI-generated editorial hero image for What is the sprawling malware campaign documented by Check Point on June 3, 2026, that uses fake open-source tool websites impersonating pla.
Промпт ИИ
Create a landscape editorial hero image for this Studio Global article: What is the sprawling malware campaign documented by Check Point on June 3, 2026, that uses fake open-source tool websites impersonating pla. Article summary: This is the campaign documented by **Check Point Research on June 3, 2026**, titled **"Impersonation, Click Hijacking, and TDS: Inside a Malware Distribution Ecosystem"** [6]. Here is a summary of the key findings direct. Topic tags: general, education, general web. Reference image context from search candidates: Reference image 1: visual subject "Cybersecurity researchers have flagged a large-scale operation that impersonates open-source and freeware projects to funnel unsuspecting users through a Traffic Distribution Syste" source context "Fake Sites Mimicking Open-Source Tools Rank High on Google to ..." Reference image 2: visual subject "# Fake Open-Source
openai.com
Простой поиск и загрузка проверенного open-source-инструмента для специалистов по кибербезопасности, такого как Ghidra или SpiderFoot, превратились в опаснейшее занятие. Исследователи Check Point задокументировали сложную и масштабную кампанию по распространению вредоносного ПО, которая безжалостно эксплуатирует именно это доверие. Операция, подробно описанная в отчете от 3 июня 2026 года, опирается на сеть профессионально сделанных сайтов-двойников, которые перехватывают запросы пользователей и прогоняют их через закрытую «воронку» для избирательной доставки зловредов .
Речь идет не о банальном фишинге. Эта кампания объединяет манипуляции с поисковой выдачей, перехват кликов через JavaScript, размещенный на площадке Amazon CloudFront, и многоуровневую систему распределения трафика (Traffic Distribution System, TDS) с защитой от анализа, чтобы избегать обнаружения и атаковать только самых ценных жертв. Конечная цель — сугубо финансовая: в Check Point пришли к выводу, что операция в первую очередь является схемой по привлечению и монетизации трафика, которая также служит каналом дистрибуции для других распространителей вредоносного ПО .
Studio Global AI
Продолжайте свое исследование
На этой странице есть ответ, подтвержденный источником, который вы можете продолжить внутри Studio Global.
Каков краткий ответ на вопрос «Как хакеры используют поддельные сайты инструментов с открытым кодом для перехвата кликов и распространения вредоносного ПО»?
Масштабная вредоносная кампания, раскрытая Check Point 3 июня 2026 года, использует профессионально выглядящие поддельные сайты утилит, таких как Ghidra, для перенаправления пользователей в изолированную систему распр...
Какие ключевые моменты необходимо проверить в первую очередь?
Масштабная вредоносная кампания, раскрытая Check Point 3 июня 2026 года, использует профессионально выглядящие поддельные сайты утилит, таких как Ghidra, для перенаправления пользователей в изолированную систему распр... Операция активна с конца 2025 года и сгенерировала более 5000 загрузок на VirusTotal от жертв в Турции, Польше, Бразилии и Германии; по оценкам Check Point, это масштабная схема монетизации трафика.
Что мне делать дальше на практике?
Атака начинается с поисковой выдачи по популярным open source программам, перехватывает первый клик по кнопке «Скачать» через JavaScript слой на CloudFront и фильтрует пользователей через многоуровневую TDS с защитой...
Цепочка атаки: от поискового запроса до вредоносной нагрузки
Все начинается с того, что жертва ищет в Google или другой поисковой системе популярный проект с открытым исходным кодом. Злоумышленники развернули целый флот поддельных сайтов, которые имитируют страницы Ghidra, dnSpy и SpiderFoot. Эти ресурсы выполнены на высоком уровне, зачастую содержат ссылки на реальные исходники и отлично ранжируются в выдаче, из-за чего с первого взгляда кажутся легитимными .
Технический обман срабатывает в момент, когда пользователь кликает по кнопке «Загрузить». Размещенный на CloudFront слой на JavaScript преобразует это первое нажатие в скрытую переадресацию. Так он «угоняет» пользователя, направляя его прямиком в инфраструктуру TDS злоумышленников .
Изолированная система фильтрации: Охота на ценные цели
TDS играет роль не простого редиректа, а изощренного «привратника». Аналитики Check Point выяснили, что система применяет многоуровневые механизмы проверки и противодействия анализу, чтобы отделить реальных жертв от исследователей безопасности, «песочниц» и автоматических сканеров. Только пользователи, успешно прошедшие все эти проверки, перенаправляются к конечной вредоносной нагрузке . Такой выборочный подход затрудняет отслеживание всей сети и повышает ценность каждой успешной атаки для ее операторов. Для дальнейшего уклонения от обнаружения в системе используются такие приемы, как ключи на одну сессию и механизмы одноразового «высвобождения» полезной нагрузки .
Зловредный арсенал: RemusStealer, AnimateClipper и SessionGate
За время наблюдения за кампанией были выявлены поставки трех разных семейств вредоносных программ, у каждого из которых своя цель для монетизации.
RemusStealer: Это инфостилер, работающий по модели «Вредоносное ПО как услуга» (MaaS) и продаваемый по подписке за $250–$500. Его цель — широкий спектр конфиденциальных данных: учетные записи из более чем 20 браузеров, данные из свыше 220 расширений для криптовалютных кошельков, менеджеры паролей и инструменты двухфакторной аутентификации .
AnimateClipper: Криптовалютный клиппер, который в реальном времени перехватывает буфер обмена и подменяет скопированный пользователем адрес криптокошелька на адрес злоумышленника. Способен мониторить и перехватывать транзакции в более чем 20 различных блокчейнах .
SessionGate: Ранее не задокументированный фреймворк, представляющий собой многоступенчатый загрузчик. Он использует мощную обфускацию и многочисленные техники обхода анализа для доставки потенциально нежелательного ПО (ПНП) или других модулей. В наблюдаемых цепочках атак он выступает в роли первой точки закрепления и дроппера .
Глобальная и долгоиграющая угроза
Масштаб кампании впечатляет. По данным Check Point, экосистема активна с конца 2025 года и сгенерировала более 5000 загрузок на VirusTotal, что говорит о широком охвате жертв. География атак охватывает весь мир, но основная активность сосредоточена в Турции, Польше, Бразилии, Германии, Франции, России и Великобритании .
Вывод для разработчиков и специалистов по безопасности однозначен и требует немедленных действий. Времена, когда можно было беспечно загрузить инструмент по первой ссылке из поиска, прошли. Пользователям жизненно необходимо проверять, находятся ли они на официальном сайте проекта, переходить напрямую на страницы GitHub или GitLab и с недоверием относиться к любой загрузке, которая мгновенно не выдает ожидаемый файл. Качество исполнения этих поддельных сайтов делает визуальную проверку недостаточной защитой перед лицом экосистемы, построенной на украденном доверии и автоматизированном обмане.
rescana.com
Active Exploitation Alert: Fake Open-Source Software Sites ...
Цепочка атаки: от поискового запроса до вредоносной нагрузки
Все начинается с того, что жертва ищет в Google или другой поисковой системе популярный проект с открытым исходным кодом. Злоумышленники развернули целый флот поддельных сайтов, которые имитируют страницы Ghidra, dnSpy и SpiderFoot. Эти ресурсы выполнены на высоком уровне, зачастую содержат ссылки на реальные исходники и отлично ранжируются в выдаче, из-за чего с первого взгляда кажутся легитимными .
Технический обман срабатывает в момент, когда пользователь кликает по кнопке «Загрузить». Размещенный на CloudFront слой на JavaScript преобразует это первое нажатие в скрытую переадресацию. Так он «угоняет» пользователя, направляя его прямиком в инфраструктуру TDS злоумышленников .
Изолированная система фильтрации: Охота на ценные цели
TDS играет роль не простого редиректа, а изощренного «привратника». Аналитики Check Point выяснили, что система применяет многоуровневые механизмы проверки и противодействия анализу, чтобы отделить реальных жертв от исследователей безопасности, «песочниц» и автоматических сканеров. Только пользователи, успешно прошедшие все эти проверки, перенаправляются к конечной вредоносной нагрузке . Такой выборочный подход затрудняет отслеживание всей сети и повышает ценность каждой успешной атаки для ее операторов. Для дальнейшего уклонения от обнаружения в системе используются такие приемы, как ключи на одну сессию и механизмы одноразового «высвобождения» полезной нагрузки .
Зловредный арсенал: RemusStealer, AnimateClipper и SessionGate
За время наблюдения за кампанией были выявлены поставки трех разных семейств вредоносных программ, у каждого из которых своя цель для монетизации.
RemusStealer: Это инфостилер, работающий по модели «Вредоносное ПО как услуга» (MaaS) и продаваемый по подписке за $250–$500. Его цель — широкий спектр конфиденциальных данных: учетные записи из более чем 20 браузеров, данные из свыше 220 расширений для криптовалютных кошельков, менеджеры паролей и инструменты двухфакторной аутентификации .
AnimateClipper: Криптовалютный клиппер, который в реальном времени перехватывает буфер обмена и подменяет скопированный пользователем адрес криптокошелька на адрес злоумышленника. Способен мониторить и перехватывать транзакции в более чем 20 различных блокчейнах .
SessionGate: Ранее не задокументированный фреймворк, представляющий собой многоступенчатый загрузчик. Он использует мощную обфускацию и многочисленные техники обхода анализа для доставки потенциально нежелательного ПО (ПНП) или других модулей. В наблюдаемых цепочках атак он выступает в роли первой точки закрепления и дроппера .
Глобальная и долгоиграющая угроза
Масштаб кампании впечатляет. По данным Check Point, экосистема активна с конца 2025 года и сгенерировала более 5000 загрузок на VirusTotal, что говорит о широком охвате жертв. География атак охватывает весь мир, но основная активность сосредоточена в Турции, Польше, Бразилии, Германии, Франции, России и Великобритании .
Вывод для разработчиков и специалистов по безопасности однозначен и требует немедленных действий. Времена, когда можно было беспечно загрузить инструмент по первой ссылке из поиска, прошли. Пользователям жизненно необходимо проверять, находятся ли они на официальном сайте проекта, переходить напрямую на страницы GitHub или GitLab и с недоверием относиться к любой загрузке, которая мгновенно не выдает ожидаемый файл. Качество исполнения этих поддельных сайтов делает визуальную проверку недостаточной защитой перед лицом экосистемы, построенной на украденном доверии и автоматизированном обмане.
rescana.com
Active Exploitation Alert: Fake Open-Source Software Sites ...
