Lažni PDF editori u Google oglasima kriju malver TamperedChef

Opisi virusa, 29.08.2025, 11:30 AM

Istraživači iz Truesec-a i G DATA otkrili su novu kampanju sajber kriminalaca koji koriste Google oglase da bi usmerili žrtve na lažne sajtove gde ih navode da preuzmu i instaliraju trojanizovani PDF editor. Iza bezazlenog softvera krije se TamperedChef - infostealer koji krade osetljive podatke i preuzima kontrolu nad računarom.

Cilj napadača je da žrtve privuku oglasima koji reklamiraju “besplatan PDF editor” pod nazivom AppSuite PDF Editor. Kada korisnik preuzme program, instalacija izgleda uobičajeno - pojavljuje se prozor sa licencom i uslovima korišćenja.

Međutim, u pozadini se dešava nešto sasvim drugo: instalacioni program uspostavlja vezu sa serverom napadača, tiho instalira malver i podešava da se automatski pokreće svaki put kada uključite računar. Na taj način, malver ostaje nevidljiv sve dok napadači ne odluče da ga aktiviraju.

Istraživači navode da je kampanja započela 26. juna 2025., kada su registrovani prvi lažni sajtovi i pokrenuto najmanje pet različitih Google reklamnih kampanja.

Skoro dva meseca, aplikacija se ponašala bezopasno - radila je ono što su korisnici očekivali. Međutim, od 21. avgusta 2025. program počinje da preuzima skrivene instrukcije iz .js fajla i aktivira malver TamperedChef koji preuzima i pokreće dodatne malvere sa udaljenog servera i krade lozinke i kolačiće iz veb pregledača.

Istraživači su otkrili da malver podržava niz komandi: od kreiranja zakazanih zadataka, preko “check” i “ping” rutina za komunikaciju sa komandno-kontrolnim serverima, pa sve do preuzimanja dodatnog malvera i manipulacije podešavanjima pregledača.

Zanimljivo je da je aktivacija malvera tempirana tako da se poklopi sa istekom 60 dana tipične Google reklamne kampanje, što pokazuje da su napadači želeli da iskoriste maksimalan broj preuzimanja pre nego što maliciozne funkcije prorade.

„AppSuite PDF Editor je maliciozan. Radi se o klasičnom trojancu koji se trenutno masovno preuzima“, upozorava G DATA.

Paralelno sa ovim otkrićem, kompanija Expel je otkrila slične kampanje koje promovišu lažne PDF alate poput PDF OneStart i PDF Editor. Neki od njih, pored TamperedChef-a, instaliraju i druge trojance ili pretvaraju zaražene uređaje u rezidencijalne proksije za kriminalne aktivnosti.

Stručnjaci savetuju korisnicima da nikada ne preuzimaju softver sa sumnjivih linkova, posebno onih iz oglasa. Budite skeptični prema „besplatnim“ ponudama - naročito kada se radi o popularnim alatima (PDF editori, VPN-ovi, video konverteri).