趨勢科技發現有駭客集團透過惡意廣告並且仿冒合法網站來散播惡意程式，駭客仿冒了知名開放原始碼檔案傳輸程式 WinSCP 的網站。受害企業會感染 BlackCat 勒索病毒 (又名 ALPHV)，而且駭客還使用了 SpyBoy Terminator 軟體來試圖破壞資安軟體的防護。

最近，趨勢科技事件回應團隊在執行針對性攻擊偵測 (TAD) 服務時發現了一些相當可疑的活動，隨後便聯絡了遭到攻擊的企業。經過調查發現，歹徒透過惡意廣告並搭配仿冒的網頁來散播惡意程式。被仿冒的是知名的 WinSCP 開放原始碼檔案傳輸程式 (Windows 版)。

企業經常透過 Google Ads 這樣的平台來投放針對特定對象的廣告，以便衝高流量和提升買氣。而駭客集團也常在該平台刊登惡意廣告來散播惡意程式，他們會在使用者搜尋特定關鍵字時投放惡意廣告，引誘不知情的使用者下載惡意程式。

在這起案例當中，受害企業與趨勢科技團隊在調查之後發現駭客集團在該企業的網路內部執行了下列未經授權的惡意活動：

趨勢科技發現了一起新的社交工程（social engineering ）惡意廣告攻擊，此攻擊瞄準了日本，並會散布惡意程式。這起攻擊行動，使用者一開始會先收到惡意廣告，這些廣告會偽裝成日本色情動畫遊戲、點數回饋應用程式或影音串流軟體,引誘使用者下載,利用側載 (sideloading) 技巧來載入並執行 Cinobi 銀行木馬程式,竊取登入憑證。

我們在 先前一篇部落格中介紹了一起稱為「Operation Overtrap」的攻擊行動，專門在日本地區散播一個名為「Cinobi」的最新銀行木馬程式。這起攻擊是由一個稱為「Water Kappa」的駭客集團所發動，他們會利用垃圾郵件來散布 Cinobi 木馬程式。除此之外，也會利用 Bottle 漏洞攻擊套件來散播木馬程式，該套件收錄了 Internet Explorer 的 CVE-2020-1380 和 CVE-2021-26411 兩個較新的漏洞，駭客利用此套件來從事惡意廣告攻擊，專門瞄準 Microsoft Internet Explorer 的使用者。根據趨勢科技在 2020 一整年以及 2021 上半年的觀察，Bottle 漏洞攻擊套件似乎不太活躍，且其攻擊流量在六月中持續減少，這很可能意味著該集團已經改用其他新的攻擊方式和技巧。

不過，趨勢科技在這段期間發現了一起專門瞄準日本的最新社交工程惡意廣告攻擊，此攻擊會散布一個偽裝成免費色情遊戲、點數回饋應用程式或影音串流軟體的惡意程式。此惡意程式會利用側載 (sideloading) 技巧來載入並執行 Cinobi 銀行木馬程式。我們認為這是 Water Kappa 集團所發動的最新攻擊，瞄準對象是 Internet Explorer 以外的瀏覽器用戶。

仔細研究這起攻擊的 Cinobi 樣本之後，我們發現它在功能上大致維持不變，但在組態設定中的攻擊目標名單上，卻增加了多個日本虛擬加密貨幣交易所網站，意味著該集團已開始使用 Cinobi 來竊取受害者的虛擬加密貨幣帳戶。