大規模なキャンペーンは、2017 年以来アクティブであると考えられている実行中の操作の一環として、4,500 以上の WordPress Web サイトに感染しました.
Godadddy,Sucuri の所有者によると、この感染には、「track[.]violetlovelines[.]com」という名前のドメインでホストされている JavaScript の挿入が含まれます。この JavaScript は、訪問者を不要なサイトにリダイレクトするように設計されています。
最新の操作は 2022 年 12 月 26 日から進行中です。データによると、2022 年 12 月初旬に 3,600 以上のサイトに影響を与えた波が見られ、2022 年 9 月には 7,000 以上のサイトに影響を与えた別の一連の攻撃が記録されました。
不正なコードは WordPress の index.php ファイルに挿入されており、Sucuri は、過去 60 日間に侵害されたサイトの 33,000 を超えるファイルからそのような変更が削除されたことを指摘しています。

ここ数か月で、このマルウェア キャンペーンは、悪名高い偽の CAPTCHA プッシュ通知詐欺ページから、正規のウェブサイト、大ざっぱなウェブサイト、純粋に悪意のあるウェブサイトへのリダイレクトを交互に繰り返すブラック '広告ネットワーク' に徐々に切り替わりました。
したがって、疑いを持たないユーザーがハッキングされた WordPress サイトの 1 つにアクセスすると、リダイレクト チェーンがトラフィック ディレクション システムによってトリガーされます。
さらに厄介なことに、Crystal Blocker という名前の広告ブロッカーの Web サイトは、誤解を招くようなブラウザー更新アラートを表示して、使用する Web ブラウザーに応じてユーザーをだまして拡張機能をインストールさせるように設計されています。
このブラウザ拡張機能は、Google Chrome、Microsoft Edge、および Mozilla Firefox にまたがる何十万ものユーザーによって使用されています。
また、拡張機能には広告ブロック機能があり、安全に使用できるという保証はなく、現在のバージョンまたは将来の更新で非公開の機能が含まれているという保証はありません。
リダイレクトの一部は、完全に悪質なカテゴリに分類されます。感染した Web サイトは、ドライブバイ ダウンロードを開始するためのパイプとして機能します。
これには、Raccoon Stealer として知られる情報を盗むマルウェアとして Discord CDN から取得することも含まれます。Raccoon Stealer は、パスワード、Cookie、ブラウザーからの自動入力データ、さらには暗号ウォレットなどの機密データを多く略奪することもできます。
調査結果は、Google 検索結果の悪意のある広告を介してスティーラーやトロイの木馬を配布するさまざまな正当なソフトウェアに似た Web サイトを設定している脅威としてもたらされます。
その後、Google は、リダイレクト スキームに関与する不正なドメインの 1 つをブロックし、コンピュータに不要なソフトウェアや悪意のあるソフトウェアをインストールする危険なサイトとして分類しました。
このような脅威を減らすために、WordPress サイトの所有者は通常、パスワードを変更し、インストールされているテーマとプラグインを更新し、開発者によって使用されていない、または放棄されたものを削除するように勧められています.