Breaking Bad вече е нещо повече от телевизионен сериал – сега той е прикритие за тъмната страна на интернет

През 2024 година експерти по информационна безопасност оповестяват резултатите от мащабно разследване, което разкрива необичайна и изключително устойчива схема на разпространение на дезинформация в интернет. Оказа се, че кампаниите не само използват сайтове за фалшиви новини и фалшиви домейни, но и активно използват инфраструктурата на тъмната рекламна индустрия – същата инфраструктура, която отдавна служи за основа на фишинга, зловредния софтуер и уеб измамите. Ново проучване потвърждава, че тази екосистема е много по-обширна, гъвкава и преплетена, отколкото се смяташе досега.

В центъра на разследването беше мрежата Doppelganger – кампания за дезинформация, насочена към Европа. Тя разпространява фалшиви материали чрез система от клонинги на легитимни медии, създавайки илюзията за достоверност. Основният технически механизъм тук са специализираните връзки, които при кликване карат браузъра на потребителя да „прескача“ през верига от домейни. На всеки етап се използва технологията за „прикриване на домейни“, за да се скрие истинското съдържание от търсачките и да се оставят материали с дезинформация, достъпни само за целевата аудитория. Всичко започва с доставчик на интернет услуги в Швейцария, чрез който се осъществява първият етап на пренасочване. Този метод увеличава продължителността на живота на злонамерените сайтове и им помага да избегнат блокиране.

Най-значимото откритие обаче е, че Doppelganger споделя една и съща техническа инфраструктура с отдавна установена система за пренасочване на трафик, наречена VexTrio.

Тази мрежа функционира като т.нар. система за разпределение на трафика (TDS – Traffic Distribution System) – инструмент, който рекламните мрежи обикновено използват за отчитане на източниците на трафик и оптимизиране на разпределението. При нормални обстоятелства TDS помага на рекламите да достигнат до правилната аудитория. В случая на VexTrio обаче, тя се използва за контрол на потребителите от фишинг, хакнати или заразени сайтове към ресурси с измамни или злонамерени оферти.

През VexTrio преминава огромно количество злонамерен трафик, който се преразпределя между много „партньорски“ схеми. По-специално, трафикът на Doppelganger преминава през платформите LosPollos и TacoLoco – две системи, управлявани от Adspro Group. И двете мрежи се фокусират върху агресивно монетизиране чрез съмнителни методи.

LosPollos представлява особен интерес поради своя стил: тя копира визуални елементи от телевизионния сериал „Breaking Bad“, включително логото и фигурата на собственика на измислената верига ресторанти на Густаво Фринг.

Тази асоциация не е случайна – в телевизионния сериал марката прикрива наркокартел, докато в реалния живот LosPollos крие сенчест маркетинг. Регистрираните афилиати получават „умни линкове“, наситени с JavaScript код, които поставят на хакнати WordPress сайтове. Всяко кликване, което води потребителя до рекламирания капан – независимо дали става въпрос за фалшиво приложение, сайт за запознанства или раздаване на „подаръци“ – то носи на уебмастъра комисиона. През 2024 гoдина близо 40% от всички компрометирани сайтове пренасочват потребителите именно през такива структури на LosPollos.

TacoLoco работи по различен начин: мрежата разчита на push известия. На потребителя се предлага да премине фалшива CAPTCHA, уж за да потвърди, че не е робот. След като кликне върху бутона, потребителят несъзнателно разрешава на сайта да показва изскачащи известия. След това тези известия се превръщат в безкраен поток от изскачащи прозорци с фалшиви предупреждения за вируси, предложения за „ускоряване на системата“, лотарии и връзки към зловреден софтуер. Всичко това се показва в системната област на екрана – в горната част на всички прозорци, включително и на браузъра.

И двете схеми водят до един и същ собственик. Според Qurium, LosPollos и TacoLoco са свързани с Adspro Group, регистрирана в Чехия.

Хостинг услугите се предоставят от швейцарските компании C41 и Teknology SA. В списъците на юридическите собственици на сайтовете са посочени ByteCore AG и SkyForge Digital AG, свързани с предприемача Джулио Виторио Леонардо Черути. Неговото име се появява и в документите на друга компания – Holacode, която е разработила приложенията LosPollos и TacoLoco.

Един от продуктите на Holacode е Spamshield – помощна програма, която обещава да блокира изскачащите известия, но както показаха тестовете на Infoblox, в действителност Spamshield просто скрива известията в началото, а след 24 часа изисква такса, за да ги „деблокира“. Скоро след това приложението смени разработчика си от Holacode на ApLabz, но в условията за ползване все още се споменава Holacode – което предполага, че преименуването е било формално.

Infoblox подчертава, че макар подобни схеми дълго време да са били възприемани като „злонамерена реклама“ или в най-добрия случай като сив маркетинг, те всъщност са част от сериозна екосистема. Всяка година чрез тези TDS се разпространяват шпионски софтуер, инфостилъри (инструменти за кражба на информация), зловредни приложения и схеми, които причиняват загуби на потребителите за милиарди долари.

За да се предпазят от такива схеми, на потребителите се препоръчва да деактивират напълно възможността на сайтовете да искат разрешение за показване на push известия в браузърите.

В Chrome, Firefox и Safari това се прави чрез настройките за поверителност. Особено важно е тези мерки да се прилагат на устройствата на по-малко технически грамотни потребители – възрастни хора, деца и такива, които не разпознават скритите заплахи.