Cibercriminosos infectam mais de 10 mil sites WordPress em uma campanha de fraude do Google AdSense. Eles usaram mais de 70 domínios falsos que imitam encurtadores de URL e infectaram todos esses sites.
De acordo com Ben Martin, pesquisador da Sucuri, em um relatório publicado na semana passada, o principal objetivo da gangue era a fraude de anúncios, aumentando artificialmente o tráfego para páginas que contêm o ID do AdSense, que contém anúncios do Google para geração de receita.
Sites WordPress infectados em campanha de fraude do Google AdSense
Os detalhes da atividade maliciosa usando os sites WordPress foram expostos pela primeira vez pela empresa de propriedade da GoDaddy em novembro de 2022. Essa campanha, que estaria ativa desde setembro do ano passado, é orquestrada para redirecionar os visitantes a sites WordPress comprometidos para falsos portais de perguntas e respostas.
O objetivo da campanha orquestrada pelos cibercriminosos, ao que parece, é aumentar a autoridade de sites com spam nos resultados dos mecanismos de busca, levando vítimas a cairem em seus golpes. O que torna a campanha mais recente significativa é o uso de links de resultados de pesquisa do Bing e do serviço de encurtador de links do Twitter, junto com o Google, em seus redirecionamentos, indicando uma expansão da pegada do agente da ameaça.
Além disso, também são usados ??domínios de URL pseudocurtos que se disfarçam de ferramentas populares de encurtamento de URL que acabam direcionando os visitantes para sites de perguntas e respostas incompletos. A Sucuri disse que os redirecionamentos chegaram a sites de perguntas e respostas que discutem blockchain e criptomoeda, com os domínios de URL agora hospedados no DDoS-Guard, um provedor de infraestrutura de internet russo.
Notícias Relacionadas
Segurança cibernética
Violação de dados na Ford: o papel do fornecedor terceirizado
Uma violação de dados na Ford expôs 44 mil registros, mas a empresa confirmou que seus sistemas e dados de clientes permanecem seguros.
Ataque cibernético
Hackers chineses exploram falha zero-day do Fortinet VPN para roubo de credenciais
Hackers chineses exploram vulnerabilidade zero-day no FortiClient VPN para roubar credenciais, com o uso de ferramentas avançadas como DeepData.
Uso de domínios curtos nos golpes
De acordo com Martin,
Redirecionamentos indesejados por meio de URL curta falsa para sites falsos de perguntas e respostas resultam em exibições/cliques de anúncios inflados e, portanto, receita inflada para quem está por trás dessa campanha.
É uma campanha muito grande e contínua de fraude de receita de publicidade organizada.
Não se sabe exatamente como os sites WordPress são infectados. Mas uma vez que o site é violado, o agente da ameaça injeta código PHP backdoor que permite acesso remoto persistente, bem como redirecionar os visitantes do site. De acordo com Martin, como a injeção de malware adicional está alojada no arquivo wp-blog-header.php, ela será executada sempre que o site for carregado e reinfectado o site. Segundo ele, isso garante que o ambiente permaneça infectado até que todos os vestígios do malware sejam eliminados.
