Golpes em andamento prendem crianças jogando Roblox e Fortnite

Milhares de sites pertencentes a agências governamentais dos EUA, universidades de prestígio e organizações profissionais foram sequestrados nos últimos cinco anos para divulgar ofertas e promoções questionáveis, de acordo com uma nova pesquisa. Muitos desses golpes visam crianças e tentam induzi-las a baixar aplicativos maliciosos ou vazar informações pessoais em troca de recompensas inexistentes no Fortnite e no Roblox.

Resultados da pesquisa

Por mais de três anos, o pesquisador de segurança Zach Edwards rastreou esses sequestros e golpes de sites. Ele afirma que essas atividades podem estar relacionadas às atividades de parceiros afiliados de uma empresa de publicidade. Esta empresa, registrada nos Estados Unidos, opera como um serviço que envia tráfego da web para diversos anunciantes online, permitindo que pessoas físicas se registrem e utilizem seus sistemas. No entanto, todos os dias, Edwards, diretor sênior de inteligência de ameaças da Human Security, descobre muitos domínios .gov, .org e .edu comprometidos. “Este grupo é o que considero ser o principal grupo de comprometimento em massa da infraestrutura na Internet e de abrigar golpes e outros tipos de exploração”, explica Edwards. A escala dos comprometimentos de sites – que estão em andamento – e a natureza pública dos golpes os tornam particularmente notáveis, de acordo com o pesquisador.

Como funcionam os golpes

Os golpes e os diferentes métodos de ganhar dinheiro são complexos, mas cada um dos sites é sequestrado da mesma forma. Os invasores exploram vulnerabilidades ou pontos fracos na infraestrutura de um site ou em seu sistema de gerenciamento de conteúdo, carregando arquivos PDF maliciosos no site. Esses documentos, que Edwards chama de “PDFs venenosos”, são projetados para aparecer nos mecanismos de pesquisa e promover “skins gratuitas do Fortnite”, geradores de moeda do jogo Roblox ou fluxos baratos de filmes populares. Os arquivos são preenchidos com palavras-chave pesquisáveis ​​prováveis ​​nesses tópicos.

Quando alguém clica em links em PDFs maliciosos, eles podem ser redirecionados para vários sites que eventualmente os levam a páginas fraudulentas, diz Edwards, que apresentou as descobertas na Black Security Conference.Hat em Las Vegas. Existem “muitas páginas de destino que parecem muito direcionadas para crianças”, diz ele.

Por exemplo, se você clicar no link em um PDF anunciando moedas gratuitas para um jogo online, você será direcionado a um site que solicita seu nome de usuário e sistema operacional, antes de perguntar quantas moedas deseja obter gratuitamente. Uma janela pop-up aparece com a menção “Última etapa!” Esta “página de bloqueio” afirma que as moedas gratuitas do jogo serão desbloqueadas se você se inscrever em outro serviço, inserir informações pessoais ou baixar um aplicativo. “Eu testei centenas de vezes”, diz Edwards. Ele nunca recebeu um prêmio. Quando as pessoas são levadas por esse labirinto de páginas e acabam baixando um aplicativo, divulgando informações pessoais ou realizando uma série de ações necessárias, os golpistas podem ganhar dinheiro.

CPABuild e suas afiliadas

Esse tipo de golpe já existe há algum tempo, de acordo com pesquisadores de fraudes em anúncios. Mas o que é notável é que todos esses sites estão vinculados à empresa de publicidade CPABuild e membros de sua rede, diz Edwards. Todos os sites comprometidos que contêm os arquivos PDF enviam chamadas para servidores de comando e controle pertencentes ao CPABuild. “Eles estão empurrando campanhas publicitárias para a infraestrutura de outra pessoa”, explica ele. Uma pesquisa no Google por um arquivo relacionado a PDFs traz páginas de resultados de sites comprometidos.

O site da CPABuild, que lista seu registro legal em Nevada, se descreve como uma “primeira e principal rede de bloqueio de conteúdo”. A empresa, que existe desde 2016, hospeda tarefas de seus clientes, como dar às pessoas a chance de ganhar dinheiro enviando seu endereço de e-mail e CEP. Em seguida, os usuários do CPABuild, geralmente chamados de afiliados, tentam fazer com que as pessoas concluam essas ofertas. Eles costumam fazer isso enviando links de spam nos comentários do YouTube ou criando páginas pop-up de “bloqueio” no final da cadeia de cliques de arquivos PDF maliciosos. Esse processo baseado em resultados é conhecido como custo por ação (CPA) para anunciantes e profissionais de marketing.

Contatado diversas vezes, o CPABuild não respondeu aos e-mails da WIRED. O site da empresa não menciona nenhum indivíduo por trás do CPABuild e fornece poucos detalhes gerais. O site afirma ter verificações de fraude “diárias” para detectar maus atores que abusam de sua plataforma, e seus termos de serviço proíbem os usuários de se envolverem em atividades fraudulentas e compartilhar vários tipos de conteúdo.

O site afirma ter pago mais de US$ 40 milhões aos editores e oferece milhares de modelos e páginas de destino. No CPABuild, existem diferentes categorias de usuários. A estrutura de afiliados do site é exibida em sua página inicial. Os membros podem ser categorizados como gerentes, demônios, magos, mestres e cavaleiros. Em um vídeo enviado por um membro do CPABuild em 11 de agosto, uma conta de administrador pode ser vista compartilhando uma mensagem com os usuários informando que a empresa tomou medidas para impedir que a plataforma seja usada para fins fraudulentos. “Continuamos a receber relatórios de que os editores do CPABuild estão promovendo ofertas que violam nossos Termos de Serviço”, diz uma mensagem exibida na tela. No entanto, a pesquisa de Edwards mostra que os esforços da CPABuild falharam em impedir que seus usuários se envolvessem em fraudes generalizadas.

O impacto atual

Atualmente, dezenas de sites são afetados por esses arquivos PDF. Esta semana, o Departamento de Serviços Financeiros do Estado de Nova York removeu os arquivos PDF carregados após ser contatado pela WIRED. Segundo Ciara Marangas, porta-voz do departamento, o problema foi identificado pela primeira vez em 2022 e, após análise e ação adicionais, os arquivos foram removidos.

Fonte: arstechnica.com