Über 20.000 WordPress-Websites von schädlicher Malware-Kampagne betroffen

DollyWay gibt es seit 2016

Bildnachweis: Shutterstock (Bildnachweis: Shutterstock)

GoDaddy hat eine bösartige Kampagne entdeckt, die 20.000 WordPress-Websites infiziert
Es heißt DollyWay und ist super hartnäckig
DollyWay leitet Besucher zu gefälschten Glücksspiel- und Krypto-Websites weiter

Experten haben eine lang andauernde, äußerst hartnäckige bösartige Kampagne aufgedeckt, die mehr als 20.000 WordPress-Websites weltweit infiziert hat.

Sicherheitsforscher von GoDaddy bezeichneten es als „DollyWay World Domination“, dessen Ziel es war, Opfer auf gefälschte Dating-, Glücksspiel-, Krypto- und Gewinnspielseiten umzuleiten, obwohl die Kampagne in der Vergangenheit auch zum Verbreiten von Ransomware und Banking-Trojanern genutzt wurde.

DollyWay ist laut GoDaddy seit mindestens 2016 aktiv und erzeugt nach Angaben des Unternehmens heute monatlich 10 Millionen Impressionen, was den Betreibern solide Einnahmen einbringt. Im Laufe der Jahre hat es auch die Strategien zur Umgehung, Wiederinfektion und Monetarisierung verbessert.

Ein einzelner Bedrohungsakteur

DollyWay befindet sich derzeit in seiner dritten Version, während die vorherigen mehr auf die Verbreitung von Malware und Phishing ausgerichtet waren.

Um WordPress-Websites zu kompromittieren, suchten die Betreiber von DollyWay nach n-Tages-Sicherheitslücken in Plugins und Themes der Plattform. Sie setzten außerdem ein Traffic-Direction-System (TD) ein, um Nutzer basierend auf ihrem Standort, Gerät und Referrer zu filtern und weiterzuleiten. Damit die Angreifer pro Weiterleitung bezahlt werden, nutzten sie die Netzwerke VexTrio und LosPollos.

Wenn es um Verschleierung ging, tat DollyWay eine Reihe von Dingen: Es leitete Benutzer nur weiter, nachdem sie auf etwas geklickt hatten, um passive Sicherheitsüberprüfungen zu umgehen. Außerdem leitete es keine angemeldeten WordPress-Benutzer, Bots und direkte Besucher, die ohne Referrer kamen, weiter. Es war auch ziemlich hartnäckig, sagte GoDaddy, da bei jedem Laden einer Seite eine Reinfektion stattfinden würde.

Zunächst hatten die Forscher von GoDaddy den Eindruck, dass sie mehrere Gruppen und verschiedene Kampagnen analysierten.

"Während zuvor angenommen wurde, dass es sich um separate Kampagnen handelt, zeigt unsere Forschung, dass diese Angriffe gemeinsame Infrastrukturen, Code-Muster und Monetarisierungsmethoden aufweisen – alles scheint mit einem einzigen, hochentwickelten Bedrohungsakteur verbunden zu sein", schlossen die Forscher. „Die Operation wurde nach folgendem charakteristischen String benannt, der in einigen Varianten der Schadsoftware zu finden ist: define('DOLLY_WAY', 'World Domination')."

Über BleepingComputer