Kampanye malware ‘Dollyway’ melanggar 20.000 situs WordPress

Operasi malware yang dijuluki ‘Dollyway’ telah berlangsung sejak 2016, mengkompromikan lebih dari 20.000 situs WordPress secara global untuk mengarahkan pengguna ke situs berbahaya.

Kampanye ini telah berevolusi secara signifikan dalam delapan tahun terakhir, meningkatkan penghindaran lanjutan, infeksi ulang, dan strategi monetisasi.

Menurut peneliti GoDaddy Denis Sinegubko, Dollyway telah berfungsi sebagai sistem pengalihan penipuan skala besar dalam versi terbarunya (v3). Namun, di masa lalu, ia telah mendistribusikan muatan yang lebih berbahaya seperti ransomware dan trojan perbankan.

“Peneliti Keamanan Gogaddy telah mengungkap bukti yang menghubungkan beberapa kampanye malware menjadi satu operasi tunggal yang telah kami sebutkan ‘Dollyway World Domination’,” jelas yang baru Laporkan oleh GoDaddy.

“Meskipun sebelumnya dianggap sebagai kampanye yang terpisah, penelitian kami mengungkapkan serangan ini berbagi infrastruktur umum, pola kode, dan metode monetisasi – semuanya tampak terhubung dengan aktor ancaman tunggal yang canggih.

“Operasi ini dinamai string tell-tale berikut, yang ditemukan dalam beberapa variasi malware: define (‘dolly_way’, ‘dominasi dunia’).”

Ribuan infeksi tersembunyi

Dollyway V3 adalah operasi pengalihan lanjutan yang menargetkan situs WordPress yang rentan menggunakan kelemahan N-hari pada plugin dan tema untuk mengkompromikannya.

Pada Februari 2025, Dollyway menghasilkan 10 juta tayangan penipuan per bulan dengan mengarahkan kembali pengunjung situs WordPress ke situs kencan, judi, crypto, dan undian palsu.

Kampanye ini dimonetisasi melalui jaringan afiliasi Vextrio dan Lospollos setelah menyaring pengunjung melalui sistem arah lalu lintas (TDS).

Sistem distribusi lalu lintas menganalisis dan mengarahkan lalu lintas web berdasarkan berbagai aspek pengunjung, seperti lokasi, jenis perangkat, dan pengirimnya. Penjahat dunia maya biasanya menggunakan sistem TDS berbahaya untuk mengarahkan pengguna ke situs phishing atau unduhan malware.

Situs web dilanggar melalui injeksi skrip dengan ‘wp_enqueue_script,’ yang secara dinamis memuat skrip kedua dari situs yang dikompromikan.

Tahap kedua mengumpulkan data pengunjung pengunjung untuk membantu mengkategorikan lalu lintas pengalihan dan kemudian memuat skrip TDS yang memutuskan validitas target.

Pengunjung situs web langsung yang tidak memiliki pengirim, bukan bot (skrip memiliki daftar hardcoded 102 bot-agen pengguna bot yang diketahui), dan tidak masuk pengguna WordPress (termasuk admin) dianggap tidak valid dan tidak dialihkan.

Tahap ketiga memilih tiga situs yang terinfeksi acak untuk berfungsi sebagai node TDS dan kemudian memuat javascript tersembunyi dari salah satunya untuk melakukan pengalihan akhir ke halaman penipuan Vextrio atau Lospollos.

Malware menggunakan parameter pelacakan afiliasi untuk memastikan penyerang dibayar untuk setiap pengalihan.

Perlu dicatat bahwa pengalihan akhir hanya terjadi ketika pengunjung berinteraksi dengan elemen halaman (klik), menghindari alat pemindaian pasif yang hanya memeriksa beban halaman.

Reinfeksi otomatis memastikan kegigihan

Sinegubko menjelaskan bahwa Dollyway adalah ancaman yang sangat gigih yang secara otomatis membuat ulang situs dengan setiap beban halaman, jadi menghilangkannya sangat sulit.

Ini mencapai ini dengan menyebarkan kode PHP di semua plugin aktif dan juga menambahkan salinan plugin WPCODE (jika belum diinstal) yang berisi cuplikan malware yang dikaburkan.

WPCode adalah plugin pihak ketiga yang memungkinkan admin untuk menambahkan cuplikan kecil “kode” yang memodifikasi fungsionalitas WordPress tanpa secara langsung mengedit file tema atau kode WordPress.

Sebagai bagian dari serangan, peretas menyembunyikan wpcode dari daftar plugin WordPress sehingga administrator tidak dapat melihat atau menghapusnya, membuat desinfeksi rumit.

Dollyway juga menciptakan pengguna admin yang dinamai string hex 32-karakter acak dan membuat akun-akun itu tersembunyi di panel admin. Mereka hanya terlihat melalui inspeksi database langsung.

Godaddy membagikan daftar lengkap indikator kompromi (IOC) yang terkait dengan Dollyway untuk membantu bertahan melawan ancaman ini.

Ini akan menerbitkan detail lebih lanjut tentang infrastruktur operasi dan taktik yang menggeser dalam posting tindak lanjut.