Злонамерени реклами насочват потребителите към фалшиви предупреждения за сигурност, които изглежда превземат техните браузъри. Страниците приканват посетителите да се обадят на уж поддръжка, превръщайки рутинното кликване върху реклама в опит за извличане на пари, лични данни или достъп до компютъра.

Капанът започва на хоствана в облака страница с въртящ се индикатор за зареждане и обичайно изглеждащ онлайн магазин. Първоначално не се появява нищо тревожно.

ТОВА начално поведение избягва подозренията, преди да покаже предупреждение, адаптирано към операционната система на посетителя. Изследователи от Netskope Threat Labs идентифицираха базирания в браузъра комплект за измами, докато разследваха хоствани в облака страници.

Netskope съобщи в доклад, споделен с Cyber Security News (CSN), че операцията разчита на платени реклами в Google и скрит код, който чака човешко взаимодействие, преди да разкрие фалшивото предупреждение.

От 31 август до 14 септември 2026 г. изследователите са наблюдавали как комплектът е достигнал до най-малко 619 организации чрез над 250 идентификатора на рекламни кампании в поне 284 легитимни сайта на издатели. Те са преброили 457 хоста с измами. Тези цифри показват излагане на риск, а не потвърдени инфекции или загуби.

Рекламна кампания в Google Ads разпространява фалшиви предупреждения за сигурност

Записите на трафика съдържат маркери за кликвания върху реклами при почти всички наблюдавани посещения, което сочи към платено позициониране, а не към обикновени резултати от търсенето.

Рекламите са се появявали чрез нормален инвентар в популярни сайтове за карти, времето, недвижими имоти, хостинг на документи и спорт. За издателите не е съобщено да са компрометирани – важна разграничителна подробност.

Това показва как злонамерени реклами могат да доставят зловреден код или да изпращат посетители в други опасни ситуации, без да превземат уебсайта, показващ рекламата. В този случай първата страница показва индикатор за зареждане, преди да се превърне в магазин, а след това неочаквано да покаже фалшива тревога за сигурност.

Страницата също така изчаква движение на мишката, преди да отвори скритите си инструкции. Този тест избягва автоматизираните скенери, които не движат курсора.

След това тя декриптира скрит адрес на сървър, извлича Windows или Mac версия на блокиращия код (locker) и изгражда предупреждението в паметта на браузъра.

Никакъв отделен файл за блокиране не преминава през мрежата, за да бъде проверен от скенерите. Ако отдалеченият сървър откаже или декриптирането се обърка, магазинът остава видим вместо това.

Netskope сравни тази анонимност с друг плашещ софтуер (scareware) за браузъри; предишно отражение на комплекта за блокиране на браузъри CypherLoc показва как фалшивите предупреждения от поддръжката могат също да се крият зад криптиран код.

Фалшивите предупреждения създават криза

При Windows страницата имитира сканиране с Microsoft Defender и показва многослойни предупреждения за инфекция. При Mac използва предупреждения с тема на Apple. И двете многократно показват номер за поддръжка, подсказвайки, че обаждането е единственият начин за коригиране на предполагаемия проблем.

Първото кликване превключва браузъра на пълен екран, скривайки разделите и адресната лента. Страницата скрива показалеца, пречи на бързите клавиши за изход, възпроизвежда предупредителни звуци и нарочно кара браузъра да се забавя.

Мигащо черно предупреждение и подкана за затваряне на раздела увеличават натиска, но самият компютър не е блокиран, въпреки че изглежда убедително.

Подобно на фалшивото сканиране за сигурност на Microsoft, документирано в друга измама, предупреждението е театър, а не доказателство за реално заразяване. Докладът описва базиран в браузъра зловреден код и натиск за обаждане на измамниците; той не установява, че самото отваряне на тази страница инсталира зловреден софтуер на компютъра.

Предвидената следваща стъпка е по-опасна: обаждащият се може да бъде принуден да плати за съществуващи само на хартия ремонти, да разкрие финансова информация или да предостави отдалечен достъп. Подобни кампании с фалшиви предупреждения за поддръжка показват защо телефонният номер на екрана не трябва да се третира като доказателство, че е намесен доставчик на сигурност.

Ако страницата се появи, не се обаждайте на посочения номер. Netskope съветва да задържите Escape за няколко секунди, за да напуснете пълния екран, и след това да затворите раздела. Ако това не помогне, използвайте Task Manager при Windows или Force Quit при Mac, за да затворите браузъра и да го отворите отново, без да възстановявате предишната сесия.

Засегнатите организации са предимно в Съединените щати (около 62%), следвани от Япония с 16% и Австралия с 14%, на база географско разпределение на кликванията върху реклами. Урокът е прост: уеб страница, изискваща незабавно обаждане до поддръжката, е измама, дори когато браузърът прави излизането да изглежда трудно.

Cut every SOC alert investigation by 21 min. Power your SOC with instant IOC context for immediate response: Integrate TI Lookup in your SOC