Рекламные плагины WordPress генерировали 1,4 миллиарда рекламных запросов в день

Крупномасштабная операция по мошенничеству с рекламой под названием «Scallywag» монетизирует пиратские сайты и сайты с сокращением URL-адресов с помощью специально созданных плагинов WordPress, которые ежедневно генерируют миллиарды мошеннических запросов.

Компания HUMAN, занимающаяся обнаружением ботов и мошенников, выявила сеть из 407 доменов, поддерживающих эту операцию, которая достигла пика в 1,4 миллиарда мошеннических рекламных запросов в день.

Усилия HUMAN по блокированию трафика Scallywag и составлению отчетов о нем привели к его сокращению на 95 %, хотя участники угрозы продемонстрировали устойчивость, меняя домены и переходя к другим моделям монетизации.

Построена на плагинах WordPress для мошенничества с рекламой

Легальные поставщики рекламы избегают пиратских сайтов и сайтов с сокращением URL-адресов из-за юридических рисков, проблем с безопасностью бренда, мошенничества с рекламой и отсутствия качественного контента.

Scallywag - это мошенничество как услуга, построенное на четырех плагинах WordPress, которые помогают киберпреступникам получать деньги с рискованных и низкокачественных сайтов.

Плагины WordPress, созданные операцией, - это Soralink (выпущен в 2016 году), Yu Idea (2017), WPSafeLink (2020) и Droplink (2022).

По словам Хумана, множество независимых участников угроз покупают и используют эти плагины WordPress для создания собственных схем рекламного мошенничества, а некоторые даже публикуют на YouTube учебные пособия о том, как именно это делать.

«Эти расширения снижают входной барьер для потенциальных угроз, которые хотят монетизировать контент, который обычно не может быть монетизирован с помощью рекламы; более того, несколько угроз опубликовали видео, чтобы научить других создавать свои собственные схемы», - объясняет HUMAN.

Droplink - единственное исключение из модели продаж, поскольку его можно получить бесплатно, выполняя различные действия по зарабатыванию денег для продавцов.

Пользователи, посещающие сайты пиратских каталогов в поисках фильмов или премиум-программ, переходят по встроенным ссылкам, сокращенным до URL, и перенаправляются через инфраструктуру обналичивания средств.

Сайты пиратских каталогов, которые не могут напрямую размещать рекламу, не обязательно управляются актерами Scallywag. Вместо этого их операторы формируют «серое партнерство» с рекламными мошенниками, чтобы передать монетизацию на аутсорсинг.

В процессе перенаправления посетитель проходит через промежуточные страницы с большим количеством рекламы, которые генерируют мошеннические впечатления для операторов Scallywag, и попадает на страницу, где размещен обещанный контент (программное обеспечение или фильм).

Сайты-посредники - это сайты WordPress, на которых установлены дополнения Scallywag. Они управляют логикой перенаправления, загрузкой рекламы, CAPTCHA, таймером и механизмом маскировки, который показывает чистый блог при проверке рекламной платформы.

Пресечение деятельности Scallywag

HUMAN обнаружила активность Scallywag, проанализировав шаблоны трафика в своей партнерской сети, такие как высокий объем показов рекламы с, казалось бы, доброкачественных WordPress-блогов, маскировочное поведение, а также принудительное время ожидания или взаимодействие с CAPTCHA перед перенаправлением.

Впоследствии компания классифицировала сеть как мошенническую, совместно с поставщиками рекламы остановила торги по рекламным запросам и перекрыла поток доходов Scallywag.

В ответ на это участники Scallywag попытались избежать обнаружения, используя новые домены для обналичивания средств и открытые цепочки редиректов, чтобы скрыть настоящего реферала, но HUMAN утверждает, что обнаружила и заблокировала и их.

В результате ежедневный трафик Scallywag, связанный с рекламным мошенничеством, резко сократился с 1,4 миллиарда до почти нуля, а многие партнеры отказались от этого метода и перешли к другим мошенничествам.

Несмотря на то что экосистема Scallywag потерпела экономический крах, ее операторы, скорее всего, продолжат попытки обойти меры защиты и вернуться к получению прибыли.