Eviltraffic, il malware che ha colpito 35 mila siti WordPress

I ricercatori del laboratorio di analisi malware Zlab di CSE Cybsec, azienda italiana specializzata nella cybersecurity, hanno scoperto una campagna di malvertising, un tipo di pubblicità online usata per diffondere contenuti dannosi o fraudolenti, che avrebbe già compromesso 35.000 siti online, anche italiani. Questa nuova minaccia, chiamata "Operation EvilTraffic", sfrutta la vulnerabilità dei siti basati su WordPress per ridirigere gli utenti verso siti con contenuti pubblicitari e fraudolenti all’insaputa degli utenti stessi. Il picco si è avuto tra la fine del 2017 e l'inizio del nuovo anno.

Si chiama "Eviltraffic" ed una campagna di malvertising scoperta dall'azienda italiana CSE Cybsec. Ad essere presi di mira sono siti che utilizzano la piattaforma WordPress, molto usata dai blogger e non solo, con una tecnica malevola molto semplice. L’utente che si collega al sito compromesso, tramite il suo web browser, clicca sulla pagina “infettata” e viene inevitabilmente dirottato su siti pubblicitari o fraudolenti: alcuni di essi invitano ad installare software e strane estensioni per il browser, altri tentano tramite tecniche di phishing di rubare dati personali, quali quelli bancari. I siti che sono stati colpiti da questa campagna sono basati su versioni di WordPress vulnerabili, utilizzate per dirottare i visitatori verso altri domini che ospitano pagine con contenuti pubblicitari. Di conseguenza, più visitatori cliccano sulle pagine e maggiori sono gli introiti dei malfattori.

I ricercatori di CSE Cybsec spiegano che un sito ha il ruolo di "punto di raccolta" con 1.183.500 visitatori unici al giorno e un guadagno giornaliero di circa 4.284 dollari. "Ci troviamo di fronte ad una rete di grandi dimensioni, durante le nostre prime analisi, i siti web compromessi erano circa 35.000, attualmente invece ne contiamo poco più di 18.000 questo perché molti amministratori di siti hanno scoperto la falla e sono corsi ai ripari. Molti dei siti compromessi sono recentissimi. "La campagna sembra essere iniziata ad ottobre 2017 aggiungendo il picco tra dicembre e gennaio" spiega Antonio Pirozzi, direttore del laboratorio di analisi malware Zlab. Periodicamente, su ogni sito compromesso vengono caricati, in maniera automatica, una serie di file contenenti le parole più cercate sui motori di ricerca e i relativi risultati, in modo da far indicizzare questo sito dai motori di ricerca nel momento in cui un nuovo utente effettua la ricerca di uno dei termini presenti della lista. Questo trucco consente di influenzare il sistema di indicizzazione dei motori di ricerca.