W ostatnich dniach media rozpisują się na temat Amazona w związku z otwarciem pierwszego sklepu Amazon Go, który ma być alternatywą tradycyjnych zakupów – bez kolejek, bez czekania. Wchodzicie, bierzecie produkt i wychodzicie. Płatności dokonywane są automatycznie poprzez aplikację. Na przypadek ciekawego scamu wpadli dziennikarze serwisu Bleeping Computer[1]. Użytkownik ma możliwość uzyskania karty na zakupy na stronie Amazona… Szkoda tylko, że to scam, a w tle wykonywane są zupełnie inne operacje.
Autor oryginalnej publikacji sprawdzał banery reklamowe pod kątem szkodliwego oprogramowania oraz niechacianych dodatków do przeglądarki Chrome. W końcu został on pokierowany na stronę, która oferowała darmową kartę na zakupy w sklepie Amazon. Jedynym warunkiem było pozostanie na stronie do końca odliczania.
Oczywiście jak nie trudno się domyśleć, licznik nigdy nie dojdzie do zera (pod sam koniec odliczania wskakuje ponownie na minutę do końca). Dodatkowo w tle wykonywane są zupełnie inne operacje. W pierwszej chwili odkrywca skojarzył stronę z kolejną kopalnią kryptowalut, która po pobraniu na komputer skryptów i ich uruchomieniu, wykorzystuje zasoby sprzętowe ofiary do zysków. Jednak po analizie przy pomocy aplikacji do monitorowania ruchu, okazało się, że strona w każdej sekundzie łączyła się z adresami prowadzącymi do serwisu YouTube.
Całe zdarzenie zostało opisane na poniższym filmie, gdzie autor dzieli się również swoimi przypuszczeniami dla sensu tej kampanii.
Dziwne jest bowiem to, że reklamy i filmy nie wyświetlają się bezpośrednio na stronie, ale wszystko odbywa się tak naprawdę w tle. Użytkownicy Twittera sugerują, że być może chodzi o monetyzację zamieszczonych filmów. Nowa polityka YouTube’a wymaga minimum 1000 subskrybentów oraz sumy 4000 godzin obejrzanych filmów wideo. W ten sposób drugą zmienną łatwo wykonać. Internauci czekając 5 minut na odliczenie zegara do zera, dość szybko nabiliby sumę 4000 godzin. Jednak patrząc na liczbę subskrybcji kanału, to były one dalekie od 1000 (niektóre kanały posiadały jedynie 60).
Maybe because since last week you can only monetize your content on a Youtube channel when you have at least 4,000 hours of annual viewing time and over 1000 subscribers. Click-fraud services can easily sell fake followers & background playing of video's services?
— Victor Gevers (@0xDUDE) January 22, 2018
[1] https://www.bleepingcomputer.com/news/security/sites-promoting-free-amazon-gift-cards-dont-deliver-what-you-are-expecting/
