Μια συνεχιζόμενη εκστρατεία που διεισδύει σε νόμιμες ιστοσελίδες με κακόβουλο JavaScript για την προώθηση κινεζικών πλατφορμών τυχερών παιχνιδιών, έχει επηρεάσει μέχρι σήμερα περίπου 150.000 ιστότοπους.
Δείτε επίσης: Η καμπάνια «DollyWay» malware παραβίασε 20.000 site WordPress
Σύμφωνα με στατιστικά στοιχεία από το PublicWWW, αυτή τη στιγμή υπάρχουν πάνω από 135.800 ιστότοποι που περιέχουν το φορτίο JavaScript.
Σύμφωνα με την καταγραφή της εταιρείας ασφάλειας ιστοσελίδων τον περασμένο μήνα, η εκστρατεία περιλαμβάνει τη μόλυνση ιστοσελίδων με κακόβουλο JavaScript, το οποίο έχει σχεδιαστεί για να καταλαμβάνει το παράθυρο του προγράμματος περιήγησης του χρήστη και να ανακατευθύνει τους επισκέπτες σε σελίδες που προωθούν πλατφόρμες τυχερών παιχνιδιών.
Οι ανακατευθύνσεις έχουν εντοπιστεί ότι συμβαίνουν μέσω κακόβουλου JavaScript που φιλοξενείται σε πέντε διαφορετικούς τομείς (π.χ., “zuizhongyj[.]com“), οι οποίοι με τη σειρά τους παρέχουν το κύριο φορτίο που είναι υπεύθυνο για την εκτέλεση των ανακατευθύνσεων.
Η c/side ανέφερε επίσης ότι παρατήρησε μια άλλη παραλλαγή της καμπάνιας που περιλαμβάνει την εισαγωγή σεναρίων και στοιχείων iframe σε HTML, προσποιούμενη ότι είναι νόμιμες ιστοσελίδες στοιχημάτων όπως η Bet365, χρησιμοποιώντας επίσημα λογότυπα και branding.
Δείτε ακόμα: Κακόβουλο JavaScript: Τι είναι και πώς θα προστατευτείτε
Ο τελικός στόχος είναι να παρουσιαστεί μια πλήρης οθόνη overlay μέσω CSS, η οποία θα εμφανίζει τη δόλια σελίδα τυχερών παιχνιδιών όταν επισκέπτεται κάποιος έναν από τους μολυσμένους ιστότοπους, αντί για το πραγματικό περιεχόμενο του ιστού.
Η αποκάλυψη αυτή έρχεται καθώς η GoDaddy δημοσιοποίησε λεπτομέρειες για μια μακροχρόνια επιχείρηση κακόβουλου λογισμικού που ονομάζεται DollyWay World Domination, η οποία έχει επηρεάσει πάνω από 20.000 ιστοσελίδες παγκοσμίως από το 2016. Μέχρι τον Φεβρουάριο του 2025, περισσότερες από 10.000 μοναδικές ιστοσελίδες WordPress έχουν πέσει θύματα αυτού του σχεδίου.
Οι επιθέσεις ξεκινούν με την εισαγωγή ενός δυναμικά παραγόμενου κακόβουλου JavaScript στον ιστότοπο WordPress, με τελικό σκοπό την ανακατεύθυνση των επισκεπτών σε συνδέσμους VexTrio ή LosPollos. Επίσης, αναφέρεται ότι η δραστηριότητα αυτή χρησιμοποίησε διαφημιστικά δίκτυα όπως το PropellerAds για την εκμετάλλευση της κίνησης από τους παραβιασμένους ιστότοπους.
Τα ακόβουλα injections στην πλευρά του διακομιστή πραγματοποιούνται μέσω κώδικα PHP που έχει εισαχθεί σε ενεργά πρόσθετα, ενώ παράλληλα γίνονται ενέργειες για την απενεργοποίηση των ασφαλιστικών πρόσθετων, τη διαγραφή κακόβουλων χρηστών διαχειριστών και την απόσπαση νόμιμων διαπιστευτηρίων διαχειριστών για την επίτευξη των στόχων τους.
Δείτε επίσης: Επίθεση phishing αποκρύπτει JavaScript χρησιμοποιώντας Unicode
Η GoDaddy αποκάλυψε ότι το DollyWay TDS εκμεταλλεύεται ένα κατανεμημένο δίκτυο παραβιασμένων ιστότοπων WordPress ως TDS και κόμβους διοίκησης και ελέγχου (C2), φτάνοντας σε 9-10 εκατομμύρια μηνιαίες εμφανίσεις σελίδων. Επιπλέον, οι διευθύνσεις URL ανακατεύθυνσης VexTrio έχουν βρεθεί ότι προέρχονται από το δίκτυο μεσιτών κυκλοφορίας LosPollos.
Πηγή: thehackernews
🔒 Προστατέψτε την ιδιωτικότητά σας με Proton VPN
Ελβετικό VPN από τους δημιουργούς του Proton Mail — αυστηρή πολιτική no-logs, ισχυρή κρυπτογράφηση και ενσωματωμένο NetShield που μπλοκάρει διαφημίσεις, trackers & malware.
- ✔ No-logs, με έδρα την Ελβετία (εκτός 14-Eyes)
- ✔ NetShield: φραγή διαφημίσεων, trackers & κακόβουλων domains
- ✔ Καλύπτει όλες τις συσκευές — δωρεάν έκδοση διαθέσιμη
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
