T1583.008: 恶意广告

摘要

攻击者可能购买可被滥用来向受害者分发恶意软件的在线广告。可以购买广告，以在线在特定位置投放以及有利地放置痕迹，例如在搜索引擎结果中显眼地放置。这些广告可能使用户更难区分实际搜索结果和广告。(Citation: spamhaus-malvertising) 购买的广告还可能利用广告网络的能力针对特定受众，从而可能进一步利用搜索引擎和流行网站天然被赋予的信任。 攻击者可能购买广告和其他资源，以帮助向受害者分发包含恶意代码的痕迹。购买的广告可能试图冒充或欺骗知名品牌。例如，这些欺骗性广告可能诱骗受害者点击广告，然后可能将其发送到恶意域名，该域名可能是包含所宣传软件的木马化版本的官方网站克隆。(Citation: Masquerads-Guardio)(Citation: FBI-search) 攻击者创建恶意域名和购买广告的努力也可能大规模自动化，以更好地抵御清理工作。(Citation: sentinelone-malvertising) 恶意广告可能用于支持[路过式目标定位](https://attack.mitre.org/techniques/T1608/004)和[路过式入侵](https://attack.mitre.org/techniques/T1189)，如果广告包含感染目标系统 Web 浏览器的代码/漏洞利用，则可能只需用户有限的交互。(Citation: BBC-malvertising) 攻击者还可能采用多种技术来逃避广告网络的检测。例如，攻击者可能动态路由广告点击，将自动化爬虫/策略执行流量发送到良性站点，同时验证潜在目标，然后将来自真实广告点击的受害者发送到恶意页面。因此，此感染途径可能对广告网络以及任何未通过点击广告而携带有效标识符到达恶意站点的访问者保持隐藏。(Citation: Masquerads-Guardio) 其他技巧，例如故意拼写错误以避免品牌声誉监控，也可能用于逃避自动化检测。(Citation: spamhaus-malvertising)