Pirates des comptes Google Ads : la menace des malwares en hausse !

Dans une manœuvre particulièrement audacieuse, plusieurs acteurs malveillants se font passer pour des pages de connexion Google Ads afin de tromper les annonceurs et de leur soutirer leurs identifiants de compte.

Ces cybercriminels, originaires de diverses régions telles que l’Amérique du Sud, l’Asie et l’Europe de l’Est, exploitent ensuite les comptes détournés en temps réel pour acheter et diffuser des publicités malveillantes, ainsi que des logiciels malveillants via Google Ads.

‘Campagne de malvertising la plus flagrante’

Les escrocs semblent réussir dans de nombreux cas, car leurs annonces affichent une URL de ads.google.com. Cela les rend pratiquement indistinguables des véritables annonces Google, comme l’ont souligné des chercheurs de Malwarebytes, qui ont récemment détecté cette activité malveillante.

“C’est la campagne de malvertising la plus flagrante que nous ayons jamais suivie, touchant le cœur des activités de Google et affectant probablement des milliers de leurs clients à travers le monde,” a déclaré Jerome Segura, chercheur chez Malwarebytes, dans un article de blog publié cette semaine. “Nous rapportons de nouveaux incidents sans relâche tout en continuant à en identifier de nouveaux, même au moment de la publication.”

Google Ads est une plateforme publicitaire permettant aux entreprises et aux particuliers d’afficher des annonces ciblées sur les résultats de recherche de Google, les sites web, les applications mobiles et d’autres propriétés en ligne, en fonction du comportement et des intérêts des utilisateurs. Pour donner une idée du contexte, Google Search a généré environ $175 milliards de revenus publicitaires en 2023.

Selon Segura, il y a eu une récente vague d’annonces sponsorisées falsifiées pour Google Ads, ciblant les entreprises et les particuliers souhaitant faire de la publicité sur Google Search ou se connecter à leurs comptes Google Ads. Ces publicités semblent provenir de Google et prétendent aider les utilisateurs soit à créer un compte Google Ads, soit à se connecter à un compte existant. Les utilisateurs qui cliquent sur ces annonces sont redirigés vers une fausse page d’accueil Google Ads, leur offrant ensuite des sites externes conçus spécifiquement pour voler leurs noms d’utilisateur et mots de passe.

Les attaquants utilisent la plateforme de création de sites web gratuite de Google, Google Sites, pour héberger ces pages trompeuses. C’est une tactique qui, selon Segura, leur permet de contourner facilement une politique de Google autorisant les annonceurs à inclure une URL dans leurs annonces uniquement si cette URL correspond au nom de domaine de l’annonceur. “En regardant l’annonce et la page Google Sites, nous voyons que les annonces malveillantes ne violent pas strictement la règle puisque sites.google.com utilise les mêmes racines de domaine que ads.google.com,” a expliqué Segura. “Autrement dit, il est permis d’afficher cette URL dans l’annonce, rendant ainsi la distinction impossible avec la même annonce émise par Google LLC.”

Google enquête activement sur les cyberattaques

Dans un commentaire par e-mail, un porte-parole de Google a indiqué que l’entreprise était “en train d’enquêter activement” sur la question et travaillait sur une solution rapide. “Nous interdisons expressément les annonces visant à tromper les gens pour voler leurs informations ou les escroquer,” a déclaré le porte-parole.

En guise de contexte, le porte-parole a rappelé la sophistication croissante et l’ampleur des campagnes de malvertising, notant que certains acteurs malveillants ont créé simultanément des milliers de comptes pour distribuer des annonces malveillantes sur les propriétés de Google. Souvent, ces acteurs utilisent des techniques comme la manipulation de texte pour contourner les mécanismes de détection automatisés. Dans d’autres cas, ils recourent à des tactiques de dissimulation pour montrer aux examinateurs et aux systèmes de Google des annonces différentes de celles que les utilisateurs voient. “Pour donner une idée de l’ampleur de nos efforts de répression en 2023, nous avons supprimé plus de 3.4 milliards d’annonces, restreint plus de 5.7 milliards d’annonces et suspendu plus de 5.6 millions de comptes annonceurs,” a ajouté le porte-parole.

Imitation de Google Ads : Ingénierie sociale simple et efficace

Dans ses commentaires, Segura souligne que ce qui est le plus remarquable dans cette nouvelle activité malveillante est l’imitation de la marque Google Ads par la combinaison d’URLs Google Sites avec les annonces. “C’est une astuce simple mais efficace qui rend ces annonces incroyablement difficiles à différencier des vraies,” explique Segura. Ce qui complique encore la situation, c’est que les acteurs malveillants utilisent souvent des comptes Google Ads compromis pour placer encore plus de fausses annonces dans Google Search, rendant l’activité difficile à arrêter.

Selon lui, Google devrait rendre les choses plus difficiles pour ces acteurs malveillants dans la mise en œuvre de telles manigances d’imitation. “Le ‘comment’ est plus compliqué, car il implique une réévaluation des pratiques commerciales et … des politiques de sécurité existantes.”

Segura mentionne que Malwarebytes suit et rapporte chaque incident de malvertising qu’il rencontre via un traqueur en direct auquel l’équipe de Google Ads peut accéder. “C’est un outil utile pour nous, non seulement pour simplifier le processus de signalement, mais aussi pour garder un historique,” note-t-il. La réponse de Google a consisté à agir sur les annonces que Malwarebytes signale. “[Mais] les acteurs malveillants parviennent à revenir immédiatement comme si la campagne ne s’était jamais arrêtée. Nous parlons de dizaines de comptes qui sont brûlés, mais il y en a suffisamment pour que cela continue indéfiniment.”