Η Black Cat πίσω από νέα καμπάνια SEO Poisoning

Μια συμμορία κυβερνοεγκλήματος, γνωστή ως Black Cat, έχει συνδεθεί με μια καμπάνια SEO poisoning που χρησιμοποιεί ψεύτικους ιστότοπους για την προώθηση δημοφιλούς λογισμικού. Στόχος της είναι να εξαπατήσει τους χρήστες να κατεβάσουν ένα backdoor ικανό να κλέψει ευαίσθητα δεδομένα.

Σύμφωνα με μια αναφορά που δημοσιεύθηκε από το National Computer Network Emergency Response Technical Team/Coordination Center of China (CNCERT/CC) και την Beijing Weibu Online (γνωστή και ως ThreatBook), η δραστηριότητα αυτή έχει σχεδιαστεί για να προωθεί στρατηγικά ψεύτικους ιστότοπους στην κορυφή των αποτελεσμάτων αναζήτησης σε μηχανές όπως η Microsoft Bing. Στοχεύει κυρίως χρήστες που αναζητούν προγράμματα όπως το Google Chrome, το Notepad++, το QQ International και το iTools.

Δείτε επίσης: Ghost Tap: Νέο Android malware κλέβει δεδομένα πληρωμών

“Μετά την επίσκεψη σε αυτές τις υψηλής κατάταξης phishing σελίδες, οι χρήστες παρασύρονται από προσεκτικά κατασκευασμένες σελίδες λήψης και κατεβάζουν πακέτα εγκατάστασης λογισμικού που συνοδεύονται από κακόβουλα προγράμματα“, ανέφεραν το CNCERT/CC και η ThreatBook. “Μόλις εγκατασταθεί, το πρόγραμμα εγκαθιστά ένα backdoor Trojan χωρίς τη γνώση του χρήστη, επιτρέποντας την κλοπή ευαίσθητων δεδομένων από τον υπολογιστή του χρήστη“.

Επιθέσεις Black Cat

Εκτιμάται ότι η Black Cat είναι ενεργή τουλάχιστον από το 2022, οργανώνοντας μια σειρά επιθέσεων, σχεδιασμένων για κλοπή δεδομένων και απομακρυσμένο έλεγχο συστημάτων με κακόβουλο λογισμικό που διανέμεται μέσω καμπανιών SEO poisoning.

Λέγεται ότι το 2023, η ομάδα έκλεψε τουλάχιστον 160.000 δολάρια σε crypto, προσποιούμενη την AICoin, μια δημοφιλή πλατφόρμα συναλλαγών εικονικού νομίσματος.

Δείτε επίσης: Χάκερ εκμεταλλεύονται το Google Cloud και κλέβουν στοιχεία σύνδεσης του Microsoft 365

Νέες επιθέσεις SEO poisoning

Στις πιο πρόσφατες επιθέσεις, οι χρήστες που αναζητούν το Notepad++ έρχονται αντιμέτωποι με συνδέσμους που οδηγούν σε έναν πειστικό phishing ιστότοπο (“cn-notepadplusplus[.]com”). Άλλα domains που έχουν καταχωρηθεί από την Black Cat περιλαμβάνουν τα “cn-obsidian[.]com”, “cn-winscp[.]com”, και “notepadplusplus[.]cn”. Η συμπερίληψη του “cn” στα ονόματα των domains υποδηλώνει ότι οι κακόβουλοι δράστες στοχεύουν ειδικά Κινέζους χρήστες που μπορεί να αναζητούν τέτοια εργαλεία μέσω μηχανών αναζήτησης.

Αν οι ανυποψίαστοι χρήστες καταλήξουν να κάνουν κλικ στο κουμπί “λήψη” στον ψεύτικο ιστότοπο, ανακατευθύνονται σε άλλη διεύθυνση URL που μιμείται το GitHub (“github.zh-cns[.]top”) από όπου μπορεί να ληφθεί ένα αρχείο ZIP. Μέσα στο αρχείο ZIP υπάρχει ένας installer που δημιουργεί μια συντόμευση στην επιφάνεια εργασίας του χρήστη. Η συντόμευση λειτουργεί ως σημείο εισόδου για την πλευρική φόρτωση ενός κακόβουλου DLL που, με τη σειρά του, εκκινεί το backdoor.

Το κακόβουλο λογισμικό δημιουργεί επαφή με έναν προκαθορισμένο απομακρυσμένο διακομιστή (“sbido[.]com:2869”), επιτρέποντάς του να κλέψει δεδομένα browser, να καταγράψει πληκτρολογήσεις, να εξάγει περιεχόμενα από το πρόχειρο και άλλες πολύτιμες πληροφορίες από τον παραβιασμένο υπολογιστή.

Δείτε επίσης: Η ownCloud καλεί τους χρήστες να ενεργοποιήσουν MFA

Το CNCERT/CC και η ThreatBook σημείωσαν ότι η εγκληματική συμμορία Black Cat έχει παραβιάσει περίπου 277.800 υπολογιστές στην Κίνα μεταξύ 7 Ιουλίου και 20 Ιουλίου 2025, με τον υψηλότερο ημερήσιο αριθμό παραβιασμένων μηχανημάτων στη χώρα να φτάνει τις 62.167. Για να μειώσουν τον κίνδυνο, οι χρήστες καλούνται να αποφεύγουν να κάνουν κλικ σε συνδέσμους από άγνωστες πηγές και να επιμένουν σε αξιόπιστες πηγές για τη λήψη λογισμικού.