Una campagna di malware basata su SEO poisoning sta mostrando quanto possa essere rischioso cercare e scaricare software popolari dai motori di ricerca. Il gruppo cybercriminale Black Cat è stato collegato a una strategia che spinge siti fraudolenti in cima ai risultati, inducendo gli utenti a scaricare finti installer contenenti una backdoor in grado di rubare dati sensibili. Il bersaglio principale è costituito da persone che cercano programmi molto diffusi come Google Chrome, Notepad++, QQ International e iTools, con un focus evidente sugli utenti in Cina.

Il meccanismo è semplice ma efficace. Dopo una ricerca, l’utente trova un risultato apparentemente affidabile e atterra su una pagina di download costruita in modo credibile. Cliccando sul pulsante di download, invece di ottenere il software legittimo, viene scaricato un pacchetto che include componenti malevoli. In uno degli scenari osservati, la ricerca di Notepad++ porta a un dominio imitativo che sembra legato al progetto originale e che usa riferimenti locali per aumentare la fiducia. Sono stati individuati anche altri domini simili che richiamano strumenti noti, con l’uso di prefissi come cn per suggerire una versione locale o ufficiale.

La catena di infezione prosegue con un reindirizzamento verso un sito che imita una piattaforma di hosting del codice, simulando un ambiente familiare per chi è abituato a scaricare software da repository. Da qui viene scaricato un archivio ZIP contenente un installer che crea un collegamento sul desktop. Quel collegamento diventa il punto di ingresso per il caricamento laterale di una DLL malevola, tecnica usata per avviare la backdoor senza destare sospetti.

Una volta attivo, il malware contatta un server remoto preconfigurato e abilita funzioni tipiche dei data stealer: furto dei dati del browser, registrazione dei tasti premuti, raccolta del contenuto degli appunti e acquisizione di altre informazioni utili agli attaccanti. Le rilevazioni indicano un impatto molto ampio, con centinaia di migliaia di sistemi compromessi in un arco di tempo ristretto e picchi giornalieri elevati.

La mitigazione passa da pratiche basilari ma decisive: evitare link non verificati nei risultati di ricerca, controllare attentamente i domini e scaricare software solo da fonti ufficiali e affidabili.