Исследователи обнаружили домены-двойники 27 ИИ-брендов
Исследователи выявили 186 доменов-двойников, нацеленных на 27 брендов в сфере ИИ, среди них Claude, ChatGPT, DeepSeek, Perplexity, Midjourney, ElevenLabs и Cursor. Домены использовали распространённые опечатки, чтобы перенаправлять посетителей на вредоносный или обманный контент.
Поддельные страницы и перенаправления
Некоторые домены были связаны с рекламными и реферальными сетями общими ключами издателей и идентификаторами партнёров. Схемы перенаправления и монетизации со временем менялись.
При посещении cloude.ai, где в названии Claude использована опечатка, с устройства под управлением Windows через сервис распределения трафика открывалась поддельная страница проверки Cloudflare. Она профилировала посетителей, запускала проверку с доказательством выполнения работы (proof-of-work) на основе MD5 и выборочно показывала приманку ClickFix. Страница предлагала вставить команду в диалоговое окно «Выполнить» в Windows. Команда загружала сценарий PowerShell с помощью curl.exe, а затем запускала его в скрытом окне с обходом политики выполнения.
С этой же инфраструктурой шлюза связали 211 доменов входа, в том числе имитирующих бренды компаний из финансовой и телекоммуникационной отраслей, а также производителей корпоративного программного обеспечения. Приманки подстраивались под платформу посетителя: версии для macOS предлагали выполнять команды оболочки, а другие страницы предлагали архивы с исполняемыми файлами. В отдельном маршруте поддельные страницы Security Check доставляли Net Guard и связанные с ним приложения.
Приложения с общим кодом
Исследователи проанализировали пакеты Net Guard, Privacy Keeper и MyFlixly Browser и обнаружили в них общий код, связанный с перехватом управления браузером. Вредоносное ПО может менять настройки поиска, имитируя действия пользователя, изменять профили браузера, устанавливать расширения и выполнять удалённо переданный JavaScript через Chrome DevTools. Пакеты распространялись через более широкую сеть посадочных страниц установщиков и исходных доменов.
Расширения, меняющие поискового провайдера
В другой кампании сайт-двойник Perplexity продвигал расширения Chrome, которые заменяли поискового провайдера по умолчанию. Манифесты расширений перенаправляли поисковые запросы из адресной строки на сторонний домен, хотя целевым провайдером в них был указан Bing. Для описанной техники не требовались исполняемый JavaScript или заявленные разрешения.
Из 30 расширений, связанных с этим набором инструментов, 13 удалили, а 17 по-прежнему оставались в списке. Совокупное число заявленных пользователей этих расширений составляло 972 000.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
