Новооткрита зловредна рекламна кампания, насочена към потребителите на macOS, пуска зловреден софтуер за кражба на информация чрез фалшив уебсайт Homebrew.

Измамниците, които стоят зад кампанията, са разчитали на реклами в Google за популярния мениджър на пакети с отворен код Homebrew, който позволява на потребителите на macOS и Linux да инсталират софтуер с отворен код, използвайки своя терминал.

Злонамерените реклами, които открил разработчикът Райън Ченки, показвали връзката към легитимния сайт на Homebrew – „brew.sh“. Въпреки това, след като потребителите щракваха върху рекламите, те бяха пренасочвани към фалшив уебсайт на Homebrew, който имаше почти идентичен URL адрес – „brewe.sh“.

Измамният уебсайт, предупреди Ченки в X (бивш Twitter), съдържа команда cURL за доставяне на зловреден софтуер. Посетителите са били подканени да изпълнят командата, за да инсталират Homebrew, но в крайна сметка вместо това са заразили системите си със зловредния софтуер Amos Stealer за кражба на информация.

Известен също като Atomic, крадецът за macOS е наблюдаван за първи път през 2023 г., когато престъпен конгломерат започва да го рекламира за 1000 долара на месец, твърдейки, че може да краде пароли, информация от Keychain, системна информация, бисквитки, портфейли за криптовалути, данни от платежни карти и файлове.

Към края на 2023 г. е забелязана първата кампания за злонамерена реклама, разпространяваща Amos. Използвайки компрометиран акаунт на рекламодател,  заплахите прокараха зловредни реклами в Google, които водеха към фалшив уебсайт за приложението за проследяване на финансовите пазари TradingView.

В началото на 2024 г. изследователи по сигурността хвърлят светлина върху зловредна кампания, разпространяваща Amos и няколко други програми за кражба на информация чрез GitHub. През октомври се появиха подробности за друга кампания за разпространение, която злоупотребява с фалшиви страници на Google Meet.

Новата кампания разчита на тактика, която се използва от няколко години, за пренасочване на жертвите към фалшиви уебсайтове, като се представят за реклами на Google. Миналата седмица Malwarebytes предупреди, че хиляди клиенти на Google по света вероятно са засегнати от кампания за злонамерена реклама, насочена към самите рекламодатели.

Измамният уебсайт Homebrew очевидно е бил хостван в aaPanel, който е бил информиран за злоупотребата. Google е свалила злонамерените реклами, но не е ясно как  заплахата е успяла да заблуди обхождащите програми на интернет гиганта да видят легитимния URL адрес на Homebrew вместо фалшивия.