تبلیغات مخرب جستجوی مالیاتی بدافزار ScreenConnect را با استفاده از درایور Huawei برای غیرفعال کردن EDR توزیع می‌کند

یک کمپین گسترده تبلیغات مخرب (malvertising) که از ژانویه ۲۰۲۶ فعال بوده، کاربران آمریکایی را هدف قرار داده است. این کمپین از تبلیغات گوگل برای فریب کاربرانی که به دنبال فرم‌های مالیاتی مانند «W-2» یا «W-9» هستند سوءاستفاده می‌کند و آن‌ها را به سایت‌های جعلی هدایت می‌کند تا نصب‌کننده‌های مخرب نرم‌افزار ConnectWise ScreenConnect را دریافت کنند. پس از نصب، ابزاری به نام HwAudKiller با استفاده از تکنیک «درایور آسیب‌پذیر شخصی» (BYOVD) مستقر می‌شود که از یک درایور صوتی امضاشده هوآوی برای غیرفعال‌سازی راهکارهای امنیتی از جمله Microsoft Defender، Kaspersky و SentinelOne در سطح هسته (kernel mode) بهره می‌برد. شرکت امنیت سایبری Huntress بیش از ۶۰ نشست مخرب ScreenConnect مرتبط با این کمپین شناسایی کرده است.

این کمپین از دو لایه سرویس پنهان‌سازی تجاری (cloaking) به نام‌های Adspect و JustCloakIt برای فرار از سیستم‌های بررسی تبلیغات و اسکنرهای امنیتی استفاده می‌کند. مهاجمان پس از دسترسی اولیه، ابزارهای مدیریت از راه دور (RMM) اضافی مانند FleetDeck را برای دسترسی پایدار مستقر کرده و اقداماتی نظیر استخراج اعتبارنامه‌ها از حافظه فرآیند LSASS و شناسایی شبکه با ابزار NetExec انجام داده‌اند. محققان این رفتار را با فعالیت‌های پیش از حمله باج‌افزاری (pre-ransomware) یا کارگزاران دسترسی اولیه (initial access broker) همسو می‌دانند. کشف کدهای جاوااسکریپت با توضیحات به زبان روسی در زیرساخت مهاجمان، احتمال دخالت یک توسعه‌دهنده روسی‌زبان را مطرح می‌سازد.