malvertising

Malvertising to rozpowszechnianie złośliwego oprogramowania albo fałszywych stron przez reklamy wykupione w legalnych sieciach reklamowych i w płatnych wynikach wyszukiwania. MITRE ATT&CK opisuje tę technikę jako kupowanie reklam internetowych przez przestępców w celu dystrybucji złośliwego oprogramowania, z wykorzystaniem zaufania, jakim użytkownicy darzą wyniki wyszukiwania ^[1]. Reklamy często podszywają się pod znane marki i kierują ofiarę do złośliwej domeny ^[1]. Sekurak używa tej nazwy dla techniki rozpowszechniania fałszywych stron przez sponsorowane wyniki wyszukiwania ^[3].

Jak działa

Atakujący zakłada konto reklamodawcy i kupuje reklamę na hasło, którego szukają potencjalne ofiary, na przykład nazwę popularnego programu. Reklama pojawia się nad zwykłymi wynikami. FBI opisuje reklamy z domeną podobną do domeny prawdziwej firmy lub usługi, które prowadzą na złośliwe strony ^[2]. Takie domeny to często typosquatting; MITRE wspomina o celowych literówkach, które mają utrudnić wykrycie przez systemy monitorowania marki ^[1].

Ważnym elementem jest ukrywanie treści przed kontrolą. Według MITRE przestępcy dynamicznie kierują ruch z kliknięć: automatyczne roboty i systemy sprawdzające zasady reklamowe trafiają na niegroźną stronę, a prawdziwe ofiary na stronę złośliwą ^[1]. Schemat poniżej pokazuje typowy przebieg.

RYS. 1Droga ofiary przez złośliwą reklamę

Na fałszywej stronie ofiara pobiera instalator z złośliwym oprogramowaniem (malware) albo wykonuje polecenie podane jako instrukcja instalacji. Pokrewny wariant, w którym infekcja nie wymaga świadomego pobrania pliku, opisuje hasło drive-by download.

Odmiany

Ostatni wiersz dotyczy reklam wyświetlanych na zwykłych stronach, także na witrynach WordPress. Reklama nie musi wtedy nic kupować w wyszukiwarce; wystarcza, że skrypt sieci reklamowej wykona się w przeglądarce odwiedzającego. Pokrewne zjawiska opisują hasła adware, scareware i złośliwe przekierowanie.

W WordPressie

Malvertising dotyka stron WordPress z dwóch stron.

Administrator jako ofiara. Osoby zarządzające stronami szukają w wyszukiwarce wtyczek, motywów i narzędzi. Reklama podszywająca się pod znany produkt może zaprowadzić je do fałszywej wtyczki albo pirackiej wtyczki z ukrytym kodem. Bezpieczniej instalować wtyczki z katalogu w panelu albo z oficjalnej strony producenta, wpisując jej adres ręcznie. FBI zaleca właśnie wpisywanie adresu firmy w pasku przeglądarki zamiast wyszukiwania go ^[2].

Witryna jako nośnik. Strona, która wyświetla reklamy, wykonuje kod sieci reklamowej w przeglądarkach swoich gości. Jeśli do sieci trafi złośliwa kreacja, właściciel strony zwykle o tym nie wie. Część ryzyka ogranicza CSP (Content Security Policy). MDN opisuje CSP jako zestaw instrukcji od witryny dla przeglądarki, ograniczających to, co może robić kod strony ^[5]. Dyrektywa script-src określa dozwolone źródła JavaScriptu; na przykład wartość 'self' example.com dopuszcza tylko skrypty z tej samej witryny i z example.com ^[5]. Reklamy osadzone w ramce można dodatkowo zamknąć atrybutem sandbox, który nakłada ograniczenia na osadzoną treść i pozwala znosić je pojedynczymi tokenami ^[6]. Bez tokenu allow-top-navigation ramka nie może zmienić adresu całej strony, a bez allow-popups nie otworzy nowych okien ^[6].

Zagrożenia i skutki

Najczęstszym skutkiem jest infekcja komputera, z którego kradzione są hasła, ciasteczka i tokeny sesji. Tak działa infostealer, a dane z niego trafiają później do zbiorów używanych w atakach na konta, także na konta administratorów stron. Niebezpiecznik, omawiając raport Mandiant M-Trends 2026, przytacza stwierdzenie, że grupy zajmujące się uzyskiwaniem początkowego dostępu masowo infekują ofiary między innymi za pomocą złośliwych reklam ^[4]. Taki dostęp, uzyskany przez brokera początkowego dostępu (initial access broker), może być dalej sprzedawany, na przykład grupom ransomware ^[4].

Druga grupa skutków to straty finansowe. FBI ostrzegało, że reklamy w wynikach wyszukiwania były używane do podszywania się pod serwisy finansowe, zwłaszcza giełdy kryptowalut ^[2]. To odmiana phishingu, w której przynętą jest reklama zamiast wiadomości.

Jak się bronić

FBI podaje trzy proste zalecenia dla użytkowników ^[2]:

• przed kliknięciem reklamy sprawdzić adres i upewnić się, że strona jest prawdziwa;
• zamiast wyszukiwać firmę lub instytucję finansową, wpisać jej adres w pasku przeglądarki;
• używać rozszerzenia blokującego reklamy podczas wyszukiwania.

Dla właścicieli stron ważne są: ograniczenie liczby zewnętrznych skryptów, polityka CSP z listą dozwolonych źródeł ^[5], osadzanie reklam w ramkach z atrybutem sandbox ^[6] i korzystanie wyłącznie ze znanych sieci reklamowych. Warto też pamiętać, że każdy zewnętrzny skrypt to element łańcucha dostaw strony; zob. atak na łańcuch dostaw.

Historia i przykłady

FBI 21 grudnia 2022 roku opublikowało ostrzeżenie PSA221221 o przestępcach podszywających się pod marki za pomocą usług reklamowych wyszukiwarek ^[2]. MITRE jako przykłady użycia techniki podaje grupę Mustard Tempest, która publikowała fałszywe reklamy pakietów oprogramowania i aktualizacji przeglądarek, oraz złośliwe oprogramowanie Raspberry Robin, dostarczane przez złośliwe reklamy z archiwum hostowanym między innymi w serwisie Discord ^[1].

Sekurak 31 marca 2026 roku opisał kampanię, w której fałszywe strony instalacji narzędzia Claude Code pojawiały się w sponsorowanych wynikach Google Ads ^[3]. Strony podawały polecenia do wklejenia w terminalu, które zamiast instalować narzędzie uruchamiały złośliwy kod ^[3]. Celem były systemy Windows i macOS, a instalowanym oprogramowaniem był infostealer Amatera ^[3].