惡意軟體假冒正版，Google 搜尋下載軟體要三思

在過去一個月，惡意廣告商用新的手段打敗了 Google 搜尋引擎，現在搜尋軟體可能下載到假冒的惡意軟體，千萬要小心。

安全研究人員過去習慣在 Google 上看到一些惡意廣告，但長期追蹤垃圾郵件的國際組織 Spamhaus 志工 2 日發表專文表示，這幾天目睹眾多品牌的惡意廣告激增，並用到多種惡意軟體，這種現象並非常態。

▲ 資安公司 abuse.ch 舉例，Thunderbird 軟體搜尋結果第一位顯示的是惡意廣告。（Source：abuse.ch）

惡意軟體通常依賴網路釣魚和垃圾郵件的模式，例如將帶有誘騙成份的微軟 Word 檔案加到郵件附件供人下載。但過去一個月裡，Google 廣告成為傳播惡意軟體的首選之地，冒充 Adobe Reader、GIMP、Microsoft Teams、OBS、Slack、Tor、Thunderbird 等軟體，偽裝成正版下載，實際藉此植入惡意軟體。

這次惡意廣告激增，帶出多款惡意軟體包括 AuroraStealer、IcedID、Meta Stealer、RedLine Stealer、Vidar、Formbook、XLoader。

國外媒體 Ars Technica 舉例，當搜尋微軟開發工具套件 Visual Studio 下載時，搜尋結果第一位即是廣告，但導向另一個網站的下載點卻被惡意軟體引擎檢測出存在風險。

▲ Visual Studio 下載的搜尋結果第一位。（Source：Ars Technica）

▲ 搜尋獲得的 Visual Studio 下載點竟被偵測出惡意軟體。（Source：Ars Technica）

此外，在 Spamhaus 發表報告的同一天，資安公司 Sentinel One 的研究人員記錄下一個 Google 惡意廣告活動，推廣多種惡意加載程式在開放原始碼平台 .NET 執行。Sentinel One 將這些加載程式稱為 MalVirt。目前 MalVirt 被用於發布最常見的惡意軟體 XLoader，它是 Formbook 的後繼軟體，可從入侵的裝置竊取聯絡人和其他敏感資料，存在 Windows 和 macOS 作業系統。

Spamhaus 安全專家 Carel Bitter 質疑 Google，為何批准這些連結到新網域的廣告，新註冊的網域通常與高風險的網路活動有關，不易保障用戶使用安全，希望能儘速消除這一連串惡意廣告活動。

針對此事 Google 僅聲明表示，不法分子經常採用複雜的措施來隱藏他們的身分並逃避 Google 的政策。過去的幾年裡，為了解決這個問題，Google 推出新的驗證政策，加強廣告商驗證，並提高檢測和預防串聯詐騙的能力。Google 表示已知最近惡意廣告活動增加，正在努力盡快解決這次事件。

Google 過去幾十年在廣告和搜尋結果過濾惡意網站方面有所斬獲，但不法分子仍舊找到反擊方法，這些人擅長尋找最新技術加以對抗。一旦 Google 設計出一種新方法阻止他們，他們就會想出更新的方法繞過限制。