IT-kriminelle kaster sig over alt der kan anvendes til at tjene penge og inficere systemer.

I de seneste dage har vi observeret et opsving i traditionelle phishing angreb rettet mod Google Adwords konti. Disse konti er særligt interessante for it-kriminelle, da de kan misbruges til at oprette ”reklamer” i søgemaskinen Google, som så leder almindelige internet surfere mod skadelig kode, eller websider med tvivlsomt indhold.

Målet er at kompromittere konti der så kan anvendes til at reklamere for tvivlsomt indhold. Det kan være skadelig kode, pornografiske hjemmesider eller typisk click fraud.

Ved at hijacke netop Google Adwords kan de it-kriminelle sikre sig en høj eksponering ved søgninger på Google, mens ofrets konti typisk drænes for enorme summer, da der indsættes generelle søgeord til en skyhøj pris for at sikre sig en topplacering på Google.

At fiske efter Google Adwords foregår præcist som vi har set det med talrige andre online services – klassisk phishing:

Fra:
[Spoofet af afsender adresse: adwords-noreply@google.com)

Emnelinjen:

Please Update Your Billing Information

Indhold:

Dear Google AdWords Customer!

In order to update your billing information, please sign in
to your AdWords account at https://adwords.google.com, and submit your
billing information. Your account will be reactivated as soon as you have
entered your payment details. Your ads will show immediately if you
decide to pay for clicks via credit or debit card. If you decide to pay
by direct debit, we may need to receive your signed debit authorization
before your ads start running, depending on your location. If you
choose bank transfer, your ads will show as soon as we receive your
first payment. (Payment options vary by location.)

Thank you for choosing AdWords. We look forward to providing you with
the most effective advertising available.

Sincerely,

The Google AdWords Team

Det pågældende link, som er markeret med fed, indeholder en underliggende HREF der peger på et domæne under .cn.

Det kan eksempelvis se ud som følgende:
http://adwords.google.com.****32.cn/select/Login/
 
CSIS har set mange forskellige falske domæner der praktiserer traditionel phishing mod Google Adwords. Listen over aktive Google Adwords phish-domæner kan findes herunder. De er naturligvis allerede oprettet i CSIS Sec-DNS under kategorien ”phishing”: 049jfm.cn, 0k8ujd.cn, adwordsgl.cn, fgreo3.cn, fnjdk.cn, fr4ck.cn, fri23.cn, fruwa0b.cn, googadw.cn, irf12.cn, kdje332.cn, ork0r.cn, r4oik.cn, session932.cn, treoo.cn.