Une campagne en cours qui infiltre des sites Web l\u00e9gitimes avec des injects de JavaScript malveillant pour promouvoir les plateformes de jeu de langue chinoise a ballonn\u00e9 pour compromettre environ 150 000 sites \u00e0 ce jour.<\/p>\n
“L’acteur de menace a l\u00e9g\u00e8rement remani\u00e9 son interface mais s’appuie toujours sur une injection d’Iframe pour afficher une superposition compl\u00e8te dans le navigateur du visiteur”, a d\u00e9clar\u00e9 Himanshu Anand, analyste de la s\u00e9curit\u00e9, C \/ Side Himanshu Anand dit<\/a> dans une nouvelle analyse.<\/p>\n Au cours de l’\u00e9criture, il y a Plus de 135 800 sites<\/a> contenant la charge utile JavaScript, par statistiques de publicwww.<\/p>\n Comme l’a document\u00e9 la soci\u00e9t\u00e9 de s\u00e9curit\u00e9 du site Web le mois dernier, la campagne consiste \u00e0 infecter des sites Web avec un JavaScript malveillant con\u00e7u pour d\u00e9tourner la fen\u00eatre du navigateur de l’utilisateur pour rediriger les visiteurs du site vers des pages faisant la promotion des plateformes de jeu.<\/p>\n Les redirections se sont r\u00e9v\u00e9l\u00e9es via JavaScript h\u00e9berg\u00e9 sur cinq domaines diff\u00e9rents (par exemple, “Zuizhongyj[.]com “) qui, \u00e0 leur tour, servent la charge utile principale responsable de l’ex\u00e9cution des redirections.<\/p>\n C \/ Side a d\u00e9clar\u00e9 qu’il a \u00e9galement observ\u00e9 une autre variante de la campagne qui implique d’injecter des scripts et des \u00e9l\u00e9ments d’IFRAME dans les sites de paris l\u00e9gitimes de HTML tels que BET365 en utilisant des logos officiels et une marque.<\/p>\n L’objectif final est de servir une superposition compl\u00e8te en utilisant CSS qui fait afficher la page de destination de jeu malveillante lors de la visite de l’un des sites infect\u00e9s \u00e0 la place du contenu Web r\u00e9el.<\/p>\n “Cette attaque montre comment les acteurs de la menace s’adaptent constamment, augmentant leur port\u00e9e et utilisant de nouvelles couches d’obscurcissement”, a d\u00e9clar\u00e9 Anand. “Des attaques c\u00f4t\u00e9 client comme celles-ci sont en augmentation, avec de plus en plus de r\u00e9sultats chaque jour.”<\/p>\n La divulgation intervient alors que Godaddy a r\u00e9v\u00e9l\u00e9 que les d\u00e9tails d’une op\u00e9ration de logiciels malveillants de longue date baptis\u00e9 Dollyway World Domination qui ont compromis plus de 20 000 sites Web dans le monde depuis 2016. En f\u00e9vrier 2025, plus de 10 000 sites WordPress uniques ont \u00e9t\u00e9 victimes du programme.<\/p>\n “L’it\u00e9ration actuelle […] cible principalement les visiteurs des sites WordPress infect\u00e9s via des scripts de redirection inject\u00e9s qui utilisent un r\u00e9seau distribu\u00e9 de n\u0153uds de syst\u00e8me de direction de la circulation (TDS) h\u00e9berg\u00e9s sur des sites Web compromis ” dit<\/a>.<\/p>\n “Ces scripts redirigent les visiteurs du site vers diverses pages d’escroquerie via des r\u00e9seaux de courtiers de trafic associ\u00e9s \u00e0 Vextrio, l’une des plus grandes r\u00e9seaux d’affiliation cybercriminale connus qui exploitent des techniques DNS sophistiqu\u00e9es, des syst\u00e8mes de distribution du trafic et des algorithmes de g\u00e9n\u00e9ration de domaine pour fournir des logiciels malices et des escroqueries sur les r\u00e9seaux mondiaux.”<\/p>\n Les attaques commencent par l’injection d’un script g\u00e9n\u00e9r\u00e9 dynamiquement dans le site WordPress, redirigeant finalement les visiteurs vers les liens Vextrio ou Lospollos. L’activit\u00e9 aurait \u00e9galement utilis\u00e9 des r\u00e9seaux publicitaires comme H\u00e9lice<\/a> pour mon\u00e9tiser le trafic \u00e0 partir de sites compromis.<\/p>\n Les injections malveillantes sur le c\u00f4t\u00e9 du serveur sont facilit\u00e9es via le code PHP ins\u00e9r\u00e9 dans les plugins actifs, tout en prenant des mesures pour d\u00e9sactiver les plugins de s\u00e9curit\u00e9, supprimer les utilisateurs d’administrateur malveillant et siphon les informations d’administration d’administration l\u00e9gitimes pour atteindre leurs objectifs.<\/p>\n Godaddy a depuis r\u00e9v\u00e9l\u00e9 que le Dollyway TDS exploite un r\u00e9seau distribu\u00e9 de sites WordPress compromis en tant que TDS et n\u0153uds de commandement et de contr\u00f4le (C2), atteignant 9 \u00e0 10 millions d’impressions de pages mensuelles. De plus, les URL de redirection Vextrio se sont av\u00e9r\u00e9es \u00eatre obtenues \u00e0 partir du Lospollos<\/a> r\u00e9seau de courtiers de trafic.<\/p>\n Vers novembre 2024, les op\u00e9rateurs de Dollyway auraient supprim\u00e9 plusieurs de leurs serveurs C2 \/ TDS, le script TDS obtenant les URL de redirection \u00e0 partir d’un canal t\u00e9l\u00e9gramme nomm\u00e9 TrafficRirect.<\/p>\n “La perturbation de la relation de Dollyway avec Lospollos marque un tournant important dans cette campagne de longue dur\u00e9e”, Sinegubko not\u00e9<\/a>. “Alors que les op\u00e9rateurs ont d\u00e9montr\u00e9 une adaptabilit\u00e9 remarquable en transitionnant rapidement vers des m\u00e9thodes de mon\u00e9tisation du trafic alternatives, les changements d’infrastructure rapides et les pannes partielles sugg\u00e8rent un certain niveau d’impact op\u00e9rationnel.”<\/p>\n <\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/03\/150-000-sites-compromis-par-linjection-JavaScript-faisant-la-promotion.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n