Una campa\u00f1a en curso que se infiltra en sitios web leg\u00edtimos con inyecciones de JavaScript maliciosas para promover las plataformas de juego en idioma chino se ha disparado para comprometer aproximadamente 150,000 sitios hasta la fecha.<\/p>\n
“El actor de la amenaza ha renovado ligeramente su interfaz, pero sigue dependiendo de una inyecci\u00f3n de iframe para mostrar una superposici\u00f3n de pantalla completa en el navegador del visitante”, el analista de seguridad C\/Side Anand dicho<\/a> En un nuevo an\u00e1lisis.<\/p>\n A partir de escribir, hay M\u00e1s de 135,800 sitios<\/a> que contiene la carga \u00fatil de JavaScript, por estad\u00edsticas de publicwww.<\/p>\n Seg\u00fan lo documentado por la compa\u00f1\u00eda de seguridad del sitio web el mes pasado, la campa\u00f1a implica infectar sitios web con JavaScript malicioso dise\u00f1ado para secuestrar la ventana del navegador del usuario para redirigir a los visitantes del sitio a p\u00e1ginas que promueven las plataformas de juego.<\/p>\n Se ha encontrado que las redirecciones ocurren a trav\u00e9s de JavaScript alojado en cinco dominios diferentes (por ejemplo “, Zuizhongyj[.]com “) que, a su vez, sirve a la carga \u00fatil principal responsable de realizar las redirecciones.<\/p>\n C\/Side dijo que tambi\u00e9n observ\u00f3 otra variante de la campa\u00f1a que implica scripts inyectantes y elementos de iframe en HTML que se hace pasar por sitios web de apuestas leg\u00edtimas como BET365 haciendo uso de logotipos y marcas oficiales.<\/p>\n El objetivo final es servir una superposici\u00f3n de pantalla completa utilizando CSS que hace que la p\u00e1gina de destino de juego maliciosa se muestre al visitar uno de los sitios infectados en lugar del contenido web real.<\/p>\n “Este ataque demuestra c\u00f3mo los actores de amenaza se adaptan constantemente, aumentando su alcance y el uso de nuevas capas de ofuscaci\u00f3n”, dijo Anand. “Los ataques del lado del cliente como estos est\u00e1n en aumento, con m\u00e1s y m\u00e1s hallazgos todos los d\u00edas”.<\/p>\n La divulgaci\u00f3n se produce cuando GoDaddy revel\u00f3 detalles de una operaci\u00f3n de malware de larga duraci\u00f3n denominada Dollyway World Domination que ha comprometido m\u00e1s de 20,000 sitios web a nivel mundial desde 2016. A partir de febrero de 2025, m\u00e1s de 10,000 sitios \u00fanicos de WordPress han sido v\u00edctimas del esquema.<\/p>\n “La iteraci\u00f3n actual […] Principalmente se dirige a los visitantes de sitios de WordPress infectados a trav\u00e9s de scripts de redirecci\u00f3n inyectados que emplean una red distribuida de nodos del Sistema de direcci\u00f3n de tr\u00e1fico (TDS) alojados en sitios web comprometidos “, el investigador de seguridad Denis Sinegubko dicho<\/a>.<\/p>\n “Estos scripts redirigen a los visitantes del sitio a varias p\u00e1ginas de estafas a trav\u00e9s de redes de corredores de tr\u00e1fico asociadas con Vextrio, una de las redes de afiliados cibercriminales m\u00e1s grandes que aprovechan las t\u00e9cnicas DNS sofisticadas, los sistemas de distribuci\u00f3n de tr\u00e1fico y los algoritmos de generaci\u00f3n de dominios para ofrecer malware y estafas en las redes globales”.<\/p>\n Los ataques comienzan a inyectar un script generado din\u00e1micamente en el sitio de WordPress, redirigiendo a los visitantes a los enlaces Vextrio o Lospollos. Tambi\u00e9n se dice que la actividad ha utilizado redes publicitarias como H\u00e9lice<\/a> para monetizar el tr\u00e1fico de sitios comprometidos.<\/p>\n Las inyecciones maliciosas en el lado del servidor se facilitan a trav\u00e9s del c\u00f3digo PHP insertado en complementos activos, al tiempo que toman medidas para deshabilitar los complementos de seguridad, eliminar los usuarios de administraci\u00f3n maliciosos y sifon las credenciales de administraci\u00f3n leg\u00edtimas para cumplir con sus objetivos.<\/p>\n Desde entonces, Godaddy ha revelado que el TDS Dollyway aprovecha una red distribuida de sitios de WordPress comprometidos como TDS y nodos de comando y control (C2), alcanzando 9-10 millones de impresiones de p\u00e1ginas mensuales. Adem\u00e1s, se ha encontrado que las URL de redirecci\u00f3n de Vextrio se obtienen del Lasespolos<\/a> Red de corredores de tr\u00e1fico.<\/p>\n Alrededor de noviembre de 2024, se dice que los operadores de Dollyway eliminaron varios de sus servidores C2\/TDS, con el script TDS obteniendo las URL de redirecci\u00f3n de un canal de telegrama llamado Tr\u00e1fico.<\/p>\n “La interrupci\u00f3n de la relaci\u00f3n de Dollyway con Lospollos marca un punto de inflexi\u00f3n significativo en esta campa\u00f1a de larga duraci\u00f3n”, SineGubko anotado<\/a>. “Si bien los operadores han demostrado una notable adaptabilidad al pasar r\u00e1pidamente a los m\u00e9todos alternativos de monetizaci\u00f3n de tr\u00e1fico, los cambios r\u00e1pidos en la infraestructura y las interrupciones parciales sugieren cierto nivel de impacto operativo”.<\/p>\n <\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2025\/03\/150000-sitios-comprometidos-por-la-inyeccion-de-JavaScript-que-promueve.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n