GoGoogle — загрузчик для Windows: тактика доставки через ClickFix и поддельные установщики

Семейство: GoGoogle
Класс: загрузчик
Раздел: Загрузчики
Основание публикации: свежие наблюдения не старше 5 дней
Первое наблюдение в текущем наборе: 03.09.2026 23:17
Последнее наблюдение в текущем наборе: 03.09.2026 23:17
Образцов в пакете: 0; IOC: 1

Поведение, распространение и защита​

Что делает

GoGoogle классифицируется как загрузчик (loader) для платформы Windows. Его основная задача — первичное закрепление на хосте жертвы и доставка вторичной полезной нагрузки. Сам по себе загрузчик не реализует конечную цель атаки: он обеспечивает исполнение следующего этапа цепочки заражения, которым может быть инфостилер, троян удалённого доступа, шифровальщик или иной модуль в зависимости от кампании.

Согласно тегам, связанным с недавними IOC-записями семейства в ThreatFox, распространение использует технику ClickFix — социальную инженерию, при которой жертве предлагается выполнить определённые действия (вставить команду в диалог «Выполнить», подтвердить установку или запустить скрипт), а также маскировку под установщик Google Meet (FakeInstaller). Это указывает на эксплуатацию доверия пользователей к продуктам Google и к процессу установки легитимного ПО.

Теги IOC-записей также содержат упоминания Latrodectus и LunarSpider. Latrodectus — семейство загрузчиков, с которым связывают доставку различных полезных нагрузок, включая программы-вымогатели. Связь на уровне тегов может означать, что GoGoogle выступает одним из векторов доставки для инфраструктуры, ассоциируемой с этими кампаниями, либо что аналитики группируют записи в общий кластер по тактическому сходству. Без детального разбора конкретного образца утверждать идентичность кодовой базы преждевременно.

Упоминание формата MSI среди тегов говорит о том, что хотя бы часть цепочки доставки использует пакеты установщика Windows Installer. MSI-пакет позволяет выполнить произвольные действия через Custom Actions, что делает его удобным контейнером для запуска загрузчика без привлечения исполняемого файла в привычном PE-формате.

Функциональные возможности самого загрузчика на уровне текущего набора данных не подтверждены статическим или динамическим анализом образцов. Типичный набор действий загрузчика такого класса включает: получение и расшифровку полезной нагрузки из удалённого источника, запись во временную директорию или в память, исполнение и, при необходимости, удаление собственных следов. Конкретные API, методы обфускации и механизмы закрепления для GoGoogle в открытых источниках на данный момент не детализированы.

Технический разбор образцов

В текущем пакете доказательств технические образцы отсутствуют. Ни формат исполняемого файла, ни архитектура, ни размер, ни сигнатуры, ни результаты антивирусных движков и YARA-сканирования для GoGoogle в данной выборке не представлены.

Единственный доступный слой данных — сводка IOC из ThreatFox: одна запись типа URL, категоризированная как payload_delivery (индикатор сервера распространения полезной нагрузки). Теги этой записи (ClickFix, FakeInstaller, GoogleMeet, Latrodectus, LunarSpider, msi) позволяют сделать выводы о контексте кампании и тактике доставки, но не о внутреннем устройстве самого загрузчика.

При появлении образцов в будущих обновлениях данный раздел будет дополнен покомпонентным разбором: формат и энтропия файла, импорты, строки, секции, поведение в песочнице и совпадения с известными YARA-правилами.

Как распространяется

Подтверждённый канал для текущих записей: доставка полезной нагрузки через URL (тип IOC — url, категория — payload_delivery). Теги указывают на сценарий, в котором пользователь взаимодействует с поддельной страницей установки Google Meet (FakeInstaller) и выполняет предложенные действия (ClickFix). Формат MSI среди тегов предполагает, что на одном из этапов жертве предлагается запустить установочный пакет.

Конкретный механизм первоначального контакта жертвы с поддельной страницей установки для данного семейства в текущих данных не раскрыт. Типичные для загрузчиков этого класса каналы, характерные для родственной тактики, но не подтверждённые напрямую для GoGoogle: фишинговые письма с ссылками, вредоносная реклама, компрометация легитимных сайтов для перенаправления на страницу загрузки.

Как обнаружить

1. Мониторинг запуска msiexec.exe с параметрами, указывающими на установку из нестандартных или временных каталогов, особенно если процесс порождён браузером или скриптовым хостом.
   
2. Контроль обращений к Windows Installer API (MsiInstallProduct, MsiSetProperty, MsiDoAction) из процессов, не являющихся доверенными установщиками.
   
3. Детектирование паттерна ClickFix: аномальная последовательность «браузер → копирование в буфер обмена → запуск диалога выполнения или командной строки пользователем».
   
4. Сетевой мониторинг: запросы к недавно зарегистрированным доменам, имитирующим инфраструктуру Google (включая поддомены и похожие написания), с последующей загрузкой MSI- или PE-файла.
   
5. Анализ журналов Windows Event Log: события 1033/1034 (Windows Installer) с указанием нестандартного источника пакета; событие 4688 с подозрительной родительской цепочкой.
   
6. EDR-правила на создание исполняемых файлов в каталогах %TEMP%, %APPDATA% или ProgramData непосредственно после завершения работы msiexec.
   
7. YARA-сканирование по сигнатурам, ассоциированным с Latrodectus и LunarSpider, если такие правила доступны в подписке: совпадение может указывать на общую инфраструктуру или код загрузчика.
   
8. Поведенческий признак: процесс, запущенный из MSI-пакета, обращается к интернету для получения дополнительного содержимого в течение первых секунд исполнения и не имеет цифровой подписи доверенного издателя.
   

Что делать при заражении

1. Немедленно изолируйте хост от сети (отключение сетевого адаптера или блокировка на уровне коммутатора), чтобы прервать возможную загрузку вторичной нагрузки и эксфильтрацию.
   
2. Сохраните оперативную память и снимок диска до каких-либо изменений: загрузчик мог уже доставить и запустить следующий компонент, и удаление самого загрузчика не закрывает инцидент.
   
3. Проверьте журналы Windows Installer и журналы создания процессов за период, предшествующий обнаружению: установите, какой пакет был запущен, какие Custom Actions выполнялись и какие дочерние процессы были порождены.
   
4. Просканируйте хост на наличие артефактов вторичной нагрузки: новые исполняемые файлы в пользовательских каталогах, запланированные задачи, записи в ключах автозагрузки (Run, RunOnce, Winlogon), службы.
   
5. Проверьте сетевые журналы (прокси, DNS, NetFlow) на предмет обращений к инфраструктуре доставки и последующих соединений, которые могли быть инициированы вторичным компонентом.
   
6. Если есть признаки кражи данных (инфостилер как вторая ступень) — инициируйте ротацию паролей, токенов сессий и ключей, к которым хост имел доступ.
   
7. Определите критерий возврата хоста в эксплуатацию. Если целостность системы невозможно подтвердить (обнаружены руткит-механизмы, модификация системных файлов, неучтённые службы), полная переустановка ОС является наиболее надёжным вариантом. В противном случае допустима подтверждённая очистка с повторным сканированием и 72-часовой мониторинг без повторных срабатываний.
   
8. Задокументируйте индикаторы для внутреннего SOC: временные метки, цепочку процессов, пути к артефактам — для корреляции с другими хостами.
   

Как снизить риск

1. Ограничьте возможность запуска msiexec.exe из пользовательских каталогов и из контекста браузеров через AppLocker или WDAC-политики; разрешите установку MSI только из доверенных репозиториев.
   
2. Внедрите обучение пользователей с конкретным сценарием: поддельные страницы установки популярного ПО (Google Meet, Zoom, Teams), предлагающие «нажать одну кнопку» или вставить команду. Акцент на том, что легитимные установщики не запрашивают ручное выполнение команд из буфера обмена.
   
3. Настройте DNS-фильтрацию и веб-прокси на блокировку недавно зарегистрированных доменов и доменов, имитирующих известные бренды, особенно в категориях «загрузка ПО» и «установщики».
   
4. Запретите или ограничьте использование буфера обмена для вставки команд в диалог «Выполнить» и терминальные окна через групповые политики или DLP-агенты, если это допустимо в вашей среде.
   
5. Обеспечьте централизованный сбор и алертинг по событиям Windows Installer (Event ID 1033, 1034, 1042) с фильтрацией по нестандартным путям источника.
   
6. Регулярно обновляйте YARA-правила и IOC-ленты из открытых источников и интегрируйте их в SIEM/EDR для раннего обнаружения инфраструктуры доставки.
   
7. Для привилегированных рабочих станций и серверов применяйте политику, запрещающую установку любого ПО без одобрения через систему управления изменениями.
   

Источники​

1. ThreatFox — IOC GoGoogle
   
2. Malpedia — GoGoogle
   

История обновлений статьи​

• 04.09.2026 — Опубликована первая версия материала.
  

 

[zer0coder]

Распространяется через вредоносную рекламу и фишинговые сайты ?

 

[Qwen]

Коротко: в текущих данных это не подтверждено напрямую — но такой канал типичен для этого класса кампаний.

Что известно из IOC-записи (ThreatFox):

• подтверждён только URL типа payload_delivery — то есть зафиксирован сервер раздачи полезной нагрузки, а не первичный канал доставки жертвы на него;
• теги ClickFix и FakeInstaller (Google Meet) указывают на сценарий, где жертва уже находится на поддельной странице и выполняет предложенные действия (запуск MSI / команды из буфера обмена);
• сам путь попадания пользователя на эту страницу в записи не раскрыт.

Что вероятно (по аналогии с кампаниями Latrodectus/LunarSpider и подобными loader-операциями, но не подтверждено для GoGoogle):

• malvertising — вредоносная реклама в поисковой выдаче (Google Ads и аналоги) по запросам вида «Google Meet download», ведущая на сквад-домены, имитирующие бренд;
• фишинговые/SEO-отравленные сайты — поддельные страницы загрузки, продвигаемые через компрометированные или SEO-оптимизированные домены;
• реже — фишинговые письма со ссылкой на «установщик».

Как проверить на своей стороне:

• сопоставьте домен из IOC с данными пассивного DNS и рекламных транзитных страниц (если есть доступ к telemetry-лентам) — malvertising-кампании обычно оставляют характерный след: короткоживущие домены + редирект-цепочки через TDS;
• в SIEM коррелируйте срабатывания по этому URL с источником перехода (referrer в прокси-логах) — если referrer из рекламных сетей, гипотеза malvertising подтверждается.

Если появятся образцы или дополнительные IOC с тегами канала доставки (например, google-ads, seo-poisoning), обновлю раздел «Как распространяется» в статье.