Falska Ghidra- och SpiderFoot-webbplatser sprider skadlig kod via sofistikerat trafiksystem
En omfattande malware kampanj som Check Point avslöjade den 3 juni 2026 använder professionellt utformade falska webbplatser för verktyg som Ghidra för att leda användare till ett gated Traffic Distribution System (TD... Kampanjen har varit aktiv sedan slutet av 2025, genererat över 5 000 VirusTotal inskickningar fr...
Publicerad avRedigerad med DeepSeek-V4-ProBilder genererade med GPT Image 1.5
En omfattande malware kampanj som Check Point avslöjade den 3 juni 2026 använder professionellt utformade falska webbplatser för verktyg som Ghidra för att leda användare till ett gated Traffic Distribution System (TD...
Kampanjen har varit aktiv sedan slutet av 2025, genererat över 5 000 VirusTotal inskickningar från offer främst i Turkiet, Polen, Brasilien och Tyskland, och bedöms vara en storskalig trafikanskaffnings och monetarise...
Attackkedjan börjar med sökresultat för populära öppen källkods verktyg, kapar första klicket på en nedladdningsknapp via CloudFront värd JavaScript och filtrerar användare genom en flerskiktad anti analys TDS.
What is the sprawling malware campaign documented by Check Point on June 3, 2026, that uses fake open-source tool websites impersonating plaAI-generated editorial hero image for What is the sprawling malware campaign documented by Check Point on June 3, 2026, that uses fake open-source tool websites impersonating pla.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What is the sprawling malware campaign documented by Check Point on June 3, 2026, that uses fake open-source tool websites impersonating pla. Article summary: This is the campaign documented by **Check Point Research on June 3, 2026**, titled **"Impersonation, Click Hijacking, and TDS: Inside a Malware Distribution Ecosystem"** [6]. Here is a summary of the key findings direct. Topic tags: general, education, general web. Reference image context from search candidates: Reference image 1: visual subject "Cybersecurity researchers have flagged a large-scale operation that impersonates open-source and freeware projects to funnel unsuspecting users through a Traffic Distribution Syste" source context "Fake Sites Mimicking Open-Source Tools Rank High on Google to ..." Reference image 2: visual subject "# Fake Open-Source
openai.com
Att ladda ner ett pålitligt säkerhetsverktyg med öppen källkod som Ghidra eller SpiderFoot från en sökmotor har blivit en högriskaktivitet. Cybersäkerhetsforskare på Check Point har dokumenterat en sofistikerad och omfattande malware-distributionskampanj som utnyttjar just den tilliten. Operationen, som beskrivs i en rapport från den 3 juni 2026, bygger på ett nätverk av professionellt utformade falska webbplatser som fångar upp användartrafik och leder den genom ett gated system för att selektivt leverera skadlig kod .
Detta är inte en enkel nätfiskekampanj. Den kombinerar sökmotormanipulation, click-hijacking via Amazon CloudFront-värd JavaScript och ett flerskiktat anti-analys Traffic Distribution System (TDS) för att undvika upptäckt och endast träffa de mest värdefulla offren. Det slutliga målet är i första hand monetärt: Check Point bedömer att operationen i grunden är ett trafikanskaffnings- och monetariseringssystem som också fungerar som en distributionspipeline för andra malware-distributörer .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Falska Ghidra- och SpiderFoot-webbplatser sprider skadlig kod via sofistikerat trafiksystem"?
En omfattande malware kampanj som Check Point avslöjade den 3 juni 2026 använder professionellt utformade falska webbplatser för verktyg som Ghidra för att leda användare till ett gated Traffic Distribution System (TD...
What are the key points to validate first?
En omfattande malware kampanj som Check Point avslöjade den 3 juni 2026 använder professionellt utformade falska webbplatser för verktyg som Ghidra för att leda användare till ett gated Traffic Distribution System (TD... Kampanjen har varit aktiv sedan slutet av 2025, genererat över 5 000 VirusTotal inskickningar från offer främst i Turkiet, Polen, Brasilien och Tyskland, och bedöms vara en storskalig trafikanskaffnings och monetarise...
What should I do next in practice?
Attackkedjan börjar med sökresultat för populära öppen källkods verktyg, kapar första klicket på en nedladdningsknapp via CloudFront värd JavaScript och filtrerar användare genom en flerskiktad anti analys TDS.
Falska Ghidra- och SpiderFoot-webbplatser sprider skadlig kod via sofistikerat trafiksystem
En omfattande malware kampanj som Check Point avslöjade den 3 juni 2026 använder professionellt utformade falska webbplatser för verktyg som Ghidra för att leda användare till ett gated Traffic Distribution System (TD... Kampanjen har varit aktiv sedan slutet av 2025, genererat över 5 000 VirusTotal inskickningar fr...
Publicerad avRedigerad med DeepSeek-V4-ProBilder genererade med GPT Image 1.5
En omfattande malware kampanj som Check Point avslöjade den 3 juni 2026 använder professionellt utformade falska webbplatser för verktyg som Ghidra för att leda användare till ett gated Traffic Distribution System (TD...
Kampanjen har varit aktiv sedan slutet av 2025, genererat över 5 000 VirusTotal inskickningar från offer främst i Turkiet, Polen, Brasilien och Tyskland, och bedöms vara en storskalig trafikanskaffnings och monetarise...
Attackkedjan börjar med sökresultat för populära öppen källkods verktyg, kapar första klicket på en nedladdningsknapp via CloudFront värd JavaScript och filtrerar användare genom en flerskiktad anti analys TDS.
What is the sprawling malware campaign documented by Check Point on June 3, 2026, that uses fake open-source tool websites impersonating plaAI-generated editorial hero image for What is the sprawling malware campaign documented by Check Point on June 3, 2026, that uses fake open-source tool websites impersonating pla.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What is the sprawling malware campaign documented by Check Point on June 3, 2026, that uses fake open-source tool websites impersonating pla. Article summary: This is the campaign documented by **Check Point Research on June 3, 2026**, titled **"Impersonation, Click Hijacking, and TDS: Inside a Malware Distribution Ecosystem"** [6]. Here is a summary of the key findings direct. Topic tags: general, education, general web. Reference image context from search candidates: Reference image 1: visual subject "Cybersecurity researchers have flagged a large-scale operation that impersonates open-source and freeware projects to funnel unsuspecting users through a Traffic Distribution Syste" source context "Fake Sites Mimicking Open-Source Tools Rank High on Google to ..." Reference image 2: visual subject "# Fake Open-Source
openai.com
Att ladda ner ett pålitligt säkerhetsverktyg med öppen källkod som Ghidra eller SpiderFoot från en sökmotor har blivit en högriskaktivitet. Cybersäkerhetsforskare på Check Point har dokumenterat en sofistikerad och omfattande malware-distributionskampanj som utnyttjar just den tilliten. Operationen, som beskrivs i en rapport från den 3 juni 2026, bygger på ett nätverk av professionellt utformade falska webbplatser som fångar upp användartrafik och leder den genom ett gated system för att selektivt leverera skadlig kod .
Detta är inte en enkel nätfiskekampanj. Den kombinerar sökmotormanipulation, click-hijacking via Amazon CloudFront-värd JavaScript och ett flerskiktat anti-analys Traffic Distribution System (TDS) för att undvika upptäckt och endast träffa de mest värdefulla offren. Det slutliga målet är i första hand monetärt: Check Point bedömer att operationen i grunden är ett trafikanskaffnings- och monetariseringssystem som också fungerar som en distributionspipeline för andra malware-distributörer .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Falska Ghidra- och SpiderFoot-webbplatser sprider skadlig kod via sofistikerat trafiksystem"?
En omfattande malware kampanj som Check Point avslöjade den 3 juni 2026 använder professionellt utformade falska webbplatser för verktyg som Ghidra för att leda användare till ett gated Traffic Distribution System (TD...
What are the key points to validate first?
En omfattande malware kampanj som Check Point avslöjade den 3 juni 2026 använder professionellt utformade falska webbplatser för verktyg som Ghidra för att leda användare till ett gated Traffic Distribution System (TD... Kampanjen har varit aktiv sedan slutet av 2025, genererat över 5 000 VirusTotal inskickningar från offer främst i Turkiet, Polen, Brasilien och Tyskland, och bedöms vara en storskalig trafikanskaffnings och monetarise...
What should I do next in practice?
Attackkedjan börjar med sökresultat för populära öppen källkods verktyg, kapar första klicket på en nedladdningsknapp via CloudFront värd JavaScript och filtrerar användare genom en flerskiktad anti analys TDS.
Attackkedjan: Från sökklick till malware-nyttolast
Infektionen börjar när en användare söker efter ett populärt verktyg med öppen källkod. Angriparna har skapat en flotta av falska webbplatser som efterliknar legitima projektsidor för programvara som Ghidra, dnSpy och SpiderFoot. Dessa webbplatser är väl utformade, refererar ofta till verkliga uppströmsresurser och rankas högt i sökresultaten, vilket gör att de vid första anblicken ser ut som legitima projektportaler .
Det tekniska bedrägeriet utlöses när användaren interagerar med sidan. När ett offer klickar på en nedladdningsknapp på en av dessa webbplatser, omvandlar ett CloudFront-värd JavaScript-lager det första klicket till en omdirigering. Detta kapar användaren in i kampanjens TDS-infrastruktur .
Gated Traffic Distribution System: Filtrering för högvärdiga mål
TDS fungerar som en sofistikerad grindvakt, inte bara en enkel omdirigerare. Check Points analys visar att den tillämpar flerskiktad anti-analys och filtrering för att skilja verkliga offer från säkerhetsforskare, sandlådor och automatiserade sökrobotar. Endast användare som klarar dessa kontroller dirigeras till de slutgiltiga malware-nyttolasterna . Denna selektiva leverans gör kampanjen svårare att kartlägga och ökar värdet av varje lyckad infektion för operatörerna. För att ytterligare undvika upptäckt använder systemet tekniker som sessionsspecifika nycklar och engångsnyckelutgivningar .
Malware-trion: RemusStealer, AnimateClipper och SessionGate
Kampanjen har observerats leverera tre distinkta malware-familjer, var och en med ett specifikt monetariseringssyfte.
RemusStealer: Detta är ett prenumerationsbaserat infostealer Malware-as-a-Service (MaaS)-verktyg, som marknadsförs för 250–500 dollar. Det riktar in sig på en mängd känslig data, inklusive inloggningsuppgifter från över 20 webbläsare, data från mer än 220 kryptovaluta-plånbokstillägg, lösenordshanterare och 2FA-verktyg .
AnimateClipper: En kryptovaluta-clipper utformad för att kapa transaktioner i realtid genom att byta ut den plånboksadress som användaren kopierar mot en som kontrolleras av angriparen. Den kan övervaka och kapa transaktioner över mer än 20 olika blockchain-ekosystem .
SessionGate: Detta tidigare odokumenterade ramverk är en flerstegs-lastare som använder tung obfuskering och omfattande anti-analys för att leverera potentiellt oönskade applikationer (PUA) eller andra nyttolaster. Det fungerar som den första fotfästet och lastaren i de observerade attackkedjorna .
En global, långvarig operation
Omfattningen av kampanjen är betydande. Check Point rapporterar att ekosystemet har varit aktivt sedan slutet av 2025 och genererat över 5 000 VirusTotal-inskickningar, vilket indikerar en bred offergrupp. De primära geografiska målen sträcker sig över hela världen, med hög aktivitet koncentrerad till Turkiet, Polen, Brasilien, Tyskland, Frankrike, Ryssland och Storbritannien .
För utvecklare och säkerhetsproffs är budskapet tydligt och brådskande. Tiden då man kunde ladda ner ett verktyg baserat på ett sökresultat är förbi. Användare måste verifiera att de befinner sig på en officiell projektförvaring, gå direkt till en känd GitHub- eller GitLab-sida och vara misstänksamma mot alla nedladdningar som inte omedelbart levererar den förväntade filen. Professionaliteten hos dessa falska webbplatser gör att visuell inspektion ensam inte är ett tillräckligt försvar mot ett ekosystem som bygger på stulen tillit och automatiserat bedrägeri.
rescana.com
Active Exploitation Alert: Fake Open-Source Software Sites ...
Attackkedjan: Från sökklick till malware-nyttolast
Infektionen börjar när en användare söker efter ett populärt verktyg med öppen källkod. Angriparna har skapat en flotta av falska webbplatser som efterliknar legitima projektsidor för programvara som Ghidra, dnSpy och SpiderFoot. Dessa webbplatser är väl utformade, refererar ofta till verkliga uppströmsresurser och rankas högt i sökresultaten, vilket gör att de vid första anblicken ser ut som legitima projektportaler .
Det tekniska bedrägeriet utlöses när användaren interagerar med sidan. När ett offer klickar på en nedladdningsknapp på en av dessa webbplatser, omvandlar ett CloudFront-värd JavaScript-lager det första klicket till en omdirigering. Detta kapar användaren in i kampanjens TDS-infrastruktur .
Gated Traffic Distribution System: Filtrering för högvärdiga mål
TDS fungerar som en sofistikerad grindvakt, inte bara en enkel omdirigerare. Check Points analys visar att den tillämpar flerskiktad anti-analys och filtrering för att skilja verkliga offer från säkerhetsforskare, sandlådor och automatiserade sökrobotar. Endast användare som klarar dessa kontroller dirigeras till de slutgiltiga malware-nyttolasterna . Denna selektiva leverans gör kampanjen svårare att kartlägga och ökar värdet av varje lyckad infektion för operatörerna. För att ytterligare undvika upptäckt använder systemet tekniker som sessionsspecifika nycklar och engångsnyckelutgivningar .
Malware-trion: RemusStealer, AnimateClipper och SessionGate
Kampanjen har observerats leverera tre distinkta malware-familjer, var och en med ett specifikt monetariseringssyfte.
RemusStealer: Detta är ett prenumerationsbaserat infostealer Malware-as-a-Service (MaaS)-verktyg, som marknadsförs för 250–500 dollar. Det riktar in sig på en mängd känslig data, inklusive inloggningsuppgifter från över 20 webbläsare, data från mer än 220 kryptovaluta-plånbokstillägg, lösenordshanterare och 2FA-verktyg .
AnimateClipper: En kryptovaluta-clipper utformad för att kapa transaktioner i realtid genom att byta ut den plånboksadress som användaren kopierar mot en som kontrolleras av angriparen. Den kan övervaka och kapa transaktioner över mer än 20 olika blockchain-ekosystem .
SessionGate: Detta tidigare odokumenterade ramverk är en flerstegs-lastare som använder tung obfuskering och omfattande anti-analys för att leverera potentiellt oönskade applikationer (PUA) eller andra nyttolaster. Det fungerar som den första fotfästet och lastaren i de observerade attackkedjorna .
En global, långvarig operation
Omfattningen av kampanjen är betydande. Check Point rapporterar att ekosystemet har varit aktivt sedan slutet av 2025 och genererat över 5 000 VirusTotal-inskickningar, vilket indikerar en bred offergrupp. De primära geografiska målen sträcker sig över hela världen, med hög aktivitet koncentrerad till Turkiet, Polen, Brasilien, Tyskland, Frankrike, Ryssland och Storbritannien .
För utvecklare och säkerhetsproffs är budskapet tydligt och brådskande. Tiden då man kunde ladda ner ett verktyg baserat på ett sökresultat är förbi. Användare måste verifiera att de befinner sig på en officiell projektförvaring, gå direkt till en känd GitHub- eller GitLab-sida och vara misstänksamma mot alla nedladdningar som inte omedelbart levererar den förväntade filen. Professionaliteten hos dessa falska webbplatser gör att visuell inspektion ensam inte är ett tillräckligt försvar mot ett ekosystem som bygger på stulen tillit och automatiserat bedrägeri.
rescana.com
Active Exploitation Alert: Fake Open-Source Software Sites ...
