به گزارش کارگروه امنیت سایبربان؛ سایت های وردپرس با هدف نمایش صفحات جعلی محفاظت از دیداس Cloudflare (کلود فلِیر) و نشر و نصب بدافزار راکون اِستیلِر و نت ساپورت مورد هک قرار گرفته اند.
صفحات محافظت از حملات منع سرویس یا همان دیداس، کار محافظت از سایت ها در برابر درخواست های جعلی و ترافیک اضافی را انجام می دهند.
کاربران اینترنت به خوبی با این صفحات آشنا و از کارکرد آن ها برای محافظت از منابع آنلاین خود در برابر فعالیت های مخرب آگاه هستند. متاسفانه این آشناییت فرصت خوبی را برای کمپین های بدافزاری مهیا کرده است.
طبق گزارش شرکت سوکوری، بازیگران مخرب با هک سایت های ورد پرس نا ایمن، پی لودهای مبهم سازی شده جاوا اسکریپت را به آن ها اضافه می کنند و صفحات محافظت از دیداس کلود فلیر را به نمایش می گذارند.
در این صفحه از کاربر خواسته می شود تا با کلیک بر روی یک گزینه از صفحه محافظت دیداس عبور کنند. با کلیک کاربر بر روی این گزینه، فایل 'security_install.iso' در کامپیوتر دانلود می شود که در ظاهرا ابزاری برای گذر از اعتبار سنجی دیداس محسوب می شود.
از قربانیان خواسته می شود تا این فایل security_install.iso که در ظاهرا اپلیکیشنی به نام دیداس گارد می باشد را باز کنند و کدی را در آن وارد کنند.
هنگامی که کاربر این فایل را باز می کند به فایلی به نام security_install.exe بر می خورد که در واقع یک فرمان پاورشل را از فایل debug.txt به اجرا درمی آورد.
این کار در نهایت منجر به ایجاد زنجیره ای از اسکریپت ها می شود که کد جعلی دیداس مورد نیاز برای بازدید از سایت و نصب بدافزار نِت ساپورت را به نمایش می گذارند.
این اسکریپت ها در نهایت بدافزار راکون استیلر را دانلود می کنند و آن را بر روی دستگاه راه اندازی می کنند.
راکون استیلر پسوردها، کوکی ها، داده های خودکار پر شده، کارت های بانکی ذخیره شده بر روی مرورگرهای وب و کیف پول های ارز دیجیتال را مورد هدف قرار می دهد.
