Плагин woocommerce_inputs перенаправляет посетителей на мошеннические сайты
Help TDS действует как минимум с 2017 года и монетизирует скомпрометированные сайты с помощью PHP-шаблонов перенаправления и вредоносных плагинов WordPress. Система преимущественно направляет посетителей на сайты мошеннической техподдержки с поддельными предупреждениями о безопасности Microsoft Windows. По оценке исследователей, затронуты более 10 000 сайтов WordPress.
Перенаправление посетителей и сбор данных
Страницы мошеннической техподдержки включают принудительный полноэкранный режим и блокировку выхода с помощью JavaScript. В более новых кампаниях на них появились поддельные проверки CAPTCHA Cloudflare. Посетителей, не подходящих под критерии отбора, могут перенаправлять на мошеннические страницы, связанные со знакомствами, криптовалютой или розыгрышами призов.
Операция тесно связана с вредоносным плагином WordPress woocommerce_inputs. Злоумышленники устанавливают его после получения административного доступа, преимущественно используя украденные учётные данные, полученные от инфостилеров, в результате фишинга или на подпольных рынках. Плагин перенаправляет посетителей из поисковых систем на URL-адреса Help TDS, отслеживает их активность и может скрываться в панели управления плагинами WordPress.
Адреса для перенаправления плагин получает из канала Telegram trafficredirect. Домен pinkfels[.]shop используется как резервный C2-сервер и сервер для эксфильтрации данных. URL-адреса перенаправления кэшируются локально примерно на 30 секунд. Файлы cookie partner_ и _redirect_ подавляют повторные перенаправления на срок до 24 часов.
Изменения плагина и схема заражения
Разработка плагина быстро продвигалась с конца 2024 года до 2025 года. В версии 1.4 появились отложенная активация, отслеживание IP-адресов, нацеливание только на настольные компьютеры, фильтрация по странам (США, Канада и Япония), обход защитных механизмов по воскресеньям и модульный код перенаправления.
Версия 1.5 добавила эксфильтрацию на C2-сервер раз в две недели. Передавались имена пользователей WordPress, адреса электронной почты, отображаемые имена, URL-адреса сайтов и идентификаторы кампаний. В версии 1.7 нацеливание распространилось на всех новых посетителей, пришедших из поисковых систем, а версия 2.0.0 получила автономные обновления через конечные точки C2. В зависимости от параметров, переданных сервером, обновления могли включать широкие функции перенаправления либо поведение, нацеленное на мошенничество под видом техподдержки.
Поздняя версия 3.0.0 увеличила размер плагина примерно до 200 КБ. Она пыталась закрепляться на других сайтах, заражать системы независимо от используемой CMS или операционной системы, удалять конкурирующие вредоносные программы и применять несколько резервных механизмов. Эта версия встречалась редко и содержала многочисленные дефекты.
Исследователи описывают циклическую модель операции: украденные учётные данные позволяют проводить новые установки, а собранные данные учётных записей WordPress могут использоваться для повторного заражения, горизонтального перемещения или перепродажи.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
