‌
ابزار‌های نرم‌افزارهای محبوبی مانند Zoom، Cisco AnyConnect، ChatGPT و Citrix Workspace برای توزیع بدافزار معروف به Bumblebee به تروجان آلوده شده‌اند.
‌
واحد مقابله با تهدید Secureworks (CTU) در گزارشی که به‌تازگی منتشر شد، یافته‌ها را تجزیه‌و‌تحلیل کرد و گفت که زنجیره آلودگی برای چندین مورد از این حملات متکی به یک تبلیغ مخرب Google است که کاربران را از طریق یک سایت وردپرس آسیب‌دیده به صفحه دانلود جعلی هدایت می‌کرد.
‌
مایک مک‌للان، مدیر اطلاعات SecureWorks CTU گفت : "از آنجایی که مردم به‌دنبال فناوری جدید هستند یا می‌خواهند با هیاهوی فناوری جدیدی مانند ChatGPT هم‌مسیر شوند، Google تبدیل به مکانی شده است که باید برای این هم‌مسیری در آن دنبال این فناوری‌ها گشت. تبلیغات مخربی که در نتایج جستجو نمایش داده می‌شوند، حتی برای افرادی که دانش فنی عمیقی دارند، بسیار سخت است. "
‌
یکی از حملات مشاهده شده توسط Secureworks متکی به یک نصب کننده قانونی Cisco AnyConnect VPN بود که برای حاوی بدافزار Bumblebee تغییر یافته بود.
‌
بر اساس توصیه امنیتی CTU، مهاجمان فقط سه ساعت زمان نیاز داشتند تا از این نقطه ورودی برای استقرار ابزار‌های دیگر، از‌جمله Cobalt Strike و اسکریپت Kerberoasting استفاده کنند.
‌
طبق این گزارش : "بر اساس مشاهدات، عامل تهدید احتمالا قصد داشت باج‌افزار را مستقر کند. خوشبختانه، مدافعان شبکه قبل از اینکه بتوانند این کار را انجام دهند، آنها را شناسایی و متوقف کردند. "
‌
این کارشناس امنیتی همچنین خاطرنشان کرد که در تاکتیک جدید، کارکنان راه دور هدف قرار می‌گیرند که احتمالا به‌جای اینکه از طریق تیم فنی خود که در یک محیط امن‌ر قرار دارند و میتوان از دانش آنها استفاده کرد، از گوگل برای یافتن و دانلود نرم‌افزار جدید استفاده می‌کنند.
‌
محققان افزودند : "تغییر از فیشینگ به تبلیغات گوگل چندان تعجب‌آور نیست. دشمنان به‌دنبال پول و راه‌های ساده برای کسب موفقیت هستند. اگر ثابت شود که این‌روش بهتری برای دسترسی به شبکه‌های سازمانی است، آنها کاملا از آن بهره‌برداری خواهند کرد."
‌
آنچه که اینجا ارزش خود را نشان می‌دهد، اهمیت وجود سیاست‌های سختگیرانه برای محدود کردن دسترسی به تبلیغات وب و همچنین مدیریت اختیارات در دانلود نرم‌افزار است، زیرا کارمندان نباید اختیارات چندانی برای نصب نرم‌افزار بر روی رایانه‌های کاری خود داشته باشند.
‌
توصیه CTU چند هفته پس از آن منتشر شد که محققان امنیتی Morphisec یک کمپین مخرب جداگانه را مشاهده کردند که آن کمپین نیز به Google Ads برای حملات خود متکی بود.