藏在Google廣告上的惡意軟體Mars Stealer

Mars Stealer 資料竊取 惡意軟體 近期於駭客論壇越來越受歡迎，威脅分析人士發現了第一批使用該軟體的著名大型活動。因為 Raccoon Stealer 惡意軟體 受俄烏戰爭影響而停止維運，Mars Stealer 運作方式與 Raccoon 相似，成為駭客之替代方案。Mars Stealer 是對 Oski 惡意軟體的重新設計，該軟體於 2020 年停止開發，具有針對廣泛應用程式的廣泛信息竊取功能。

Mars Stealer 在黑客論壇上以 140 美元到 160 美元的價格進行推廣，其增長緩慢，直到最近，Raccoon Stealer 的突然關閉迫使網路犯罪分子尋找替代品。

Morphisec 研究人員發現 Mars Stealer 利用 Google Ads，於加拿大之搜尋結果放置假冒 OpenOffice 網頁之惡意網址，因其位於 Google 搜尋結果之第一位，將誘導使用者點選並下載 惡意軟體 。OpenOffice 是現在流行於 Apache 基金會的一個曾經流行的開源辦公套件，它已經被 LyRealOffice 超越，它在 2010 開始作爲它的分支。然而，OpenOffice 仍然可以從尋求免費文檔和電子表格編輯器的用戶那裏獲得可觀的每日下載量。

該 惡意軟體 實際上為 Mars Stealer 之執行檔加上 Babadeda 加密程式或 Autoit 載入程式，使用者將不自覺被感染，且個人資料遭竊取，包括瀏覽器自動填入資料、瀏覽器擴充資料、信用卡資料、IP 位置、國家代碼及時區等資料。此外，Morphisec 表示被盜最多之瀏覽器擴充程式為 MetaMask，其次為 Coinbase Wallet、Binance Wallet 及 Math 錢包，都是用於管理加密貨幣之錢包。

威脅分析師認為，Mars Stealer 是一個不斷上升的威脅，目前其散布之管道已超過 47 個暗網網站、駭客論壇、Telegram 群組及非官方途徑。為防止個人資料遭受竊取，須確保點選之網站為官方網站而不是 Google Ad 提供之網站，並於開啟檔案前使用防毒軟體進行掃描。