Les acteurs de la menace \u00e0 l’origine de la campagne de redirection des logiciels malveillants Black Hat ont intensifi\u00e9 leur campagne pour utiliser plus de 70 faux domaines imitant les raccourcisseurs d’URL et infect\u00e9 plus de 10 800 sites Web.<\/p>\n
“L’objectif principal est toujours la fraude publicitaire en augmentant artificiellement le trafic vers les pages contenant l’identifiant AdSense qui contiennent des annonces Google pour g\u00e9n\u00e9rer des revenus”, a d\u00e9clar\u00e9 Ben Martin, chercheur \u00e0 Sucuri. a dit<\/a> dans un rapport publi\u00e9 la semaine derni\u00e8re.<\/p>\n Les d\u00e9tails de l’activit\u00e9 malveillante ont \u00e9t\u00e9 r\u00e9v\u00e9l\u00e9s pour la premi\u00e8re fois par la soci\u00e9t\u00e9 appartenant \u00e0 GoDaddy en novembre 2022.<\/p>\n La campagne, qui serait active depuis septembre de l’ann\u00e9e derni\u00e8re, est orchestr\u00e9e pour rediriger les visiteurs vers des sites WordPress compromis vers de faux portails de questions-r\u00e9ponses. L’objectif, semble-t-il, est d’augmenter l’autorit\u00e9 des sites de spam dans les r\u00e9sultats des moteurs de recherche.<\/p>\n “Il est possible que ces mauvais acteurs essaient simplement de convaincre Google que de vraies personnes de diff\u00e9rentes adresses IP utilisant diff\u00e9rents navigateurs cliquent sur leurs r\u00e9sultats de recherche”, a not\u00e9 Sucuri \u00e0 l’\u00e9poque. “Cette technique envoie artificiellement \u00e0 Google des signaux indiquant que ces pages fonctionnent bien dans la recherche.”<\/p>\n Ce qui rend la derni\u00e8re campagne significative, c’est l’utilisation des liens de r\u00e9sultats de recherche Bing et du raccourcisseur de liens de Twitter (t[.]co) service, ainsi que Google, dans leurs redirections, indiquant une expansion de l’empreinte de l’acteur de la menace.<\/p>\n Sont \u00e9galement utilis\u00e9s des domaines d’URL pseudo-courts qui se font passer pour des outils de raccourcissement d’URL populaires tels que Bitly, Cuttly ou ShortURL, mais qui dirigent en r\u00e9alit\u00e9 les visiteurs vers des sites de questions-r\u00e9ponses sommaires.<\/p>\n Sucuri a d\u00e9clar\u00e9 que les redirections ont atterri sur des sites de questions-r\u00e9ponses traitant de la blockchain et de la crypto-monnaie, les domaines URL \u00e9tant d\u00e9sormais h\u00e9berg\u00e9s sur DDoS-Guard, un fournisseur d’infrastructure Internet russe qui a \u00e9t\u00e9 pass\u00e9 sous le scanner pour fournir des services d’h\u00e9bergement \u00e0 toute \u00e9preuve. <\/p>\n “Les redirections ind\u00e9sirables via de fausses URL courtes vers de faux sites de questions-r\u00e9ponses entra\u00eenent des vues\/clics publicitaires gonfl\u00e9s et donc des revenus gonfl\u00e9s pour quiconque est derri\u00e8re cette campagne”, a expliqu\u00e9 Martin. “Il s’agit d’une campagne tr\u00e8s vaste et continue de fraude organis\u00e9e sur les revenus publicitaires.”<\/p>\n On ne sait pas pr\u00e9cis\u00e9ment comment les sites WordPress sont infect\u00e9s en premier lieu. Mais une fois que le site Web est pirat\u00e9, l’acteur de la menace injecte un code PHP de porte d\u00e9rob\u00e9e qui permet un acc\u00e8s \u00e0 distance persistant ainsi que la redirection des visiteurs du site.<\/p>\n “\u00c9tant donn\u00e9 que l’injection suppl\u00e9mentaire de logiciels malveillants est h\u00e9berg\u00e9e dans le fichier wp-blog-header.php<\/a> il s’ex\u00e9cutera chaque fois que le site Web sera charg\u00e9 et r\u00e9infectera le site Web \u00bb, a d\u00e9clar\u00e9 Martin. \u00ab Cela garantit que l’environnement reste infect\u00e9 jusqu’\u00e0 ce que toutes les traces du logiciel malveillant soient trait\u00e9es.<\/p>\n <\/p>\n![\"Sucuri\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/02\/1676399365_333_Campagne-massive-de-fraude-AdSense-decouverte-Plus-de-10.png\" "\\"Sucuri\\"\/")
<\/div>\n