Aanvallers maken gebruik van malafide advertenties om uiteindelijk ransomware-aanvallen op organisaties uit te kunnen voeren, zo waarschuwt Microsoft. Via de advertenties wordt de 'Danabot' malware verspreid. Deze malware kan opgeslagen inloggegevens stelen, toetsaanslagen opslaan en aanvallers toegang tot het besmette systeem geven. Zo kunnen aanvallers ook andere malware installeren, waaronder ransomware.

Danabot wordt als 'malware-as-a-service' aangeboden, oorspronkelijk gericht op het stelen van inloggegevens en plegen van bankfraude. Microsoft heeft naar eigen zeggen een 'malvertising' campagne ontdekt gebruikt om de Danabot-malware te verspreiden die vervolgens wordt gebruikt voor aanvallen met de Cactus-ransomware. Het gaat hierbij om een private versie van de malware, en niet de versie die als service beschikbaar is.

De verantwoordelijke aanvallers zouden in het verleden vaak de Qakbot-malware bij hun aanvallen hebben ingezet, maar de infrastructuur van deze malware werd eind augustus tijdens een internationale politieoperatie offline gehaald. Microsoft adviseert organisaties onder andere om sterk wachtwoordbeleid in te voeren. Details over de gebruikte advertenties zijn niet gegeven.