Uma nova botnet está especificamente a apontar para grandes corporações, assumindo as máquinas dos utilizadores para gerar uma elevada fraude nos anúncios online, na ordem dos 246 milhões de dólares mensais, de acordo com um novo relatório da Pixalate.

A botnet Xindi apareceu pela primeira vez no ano passado mas está mais activa desde Agosto. Ela já se infiltrou em cerca de 8 milhões de computadores em mais de 6.000 empresas, disse Amin Bandeali, CTO da Pixalate.

A Pixalate monitoriza redes de publicidade para detectar fraudes, e descobriu a botnet ao acompanhar ligações para “sites fantasma”, que apenas não-humanos visitam, criados para explorar uma vulnerabilidade na forma como as redes de publicidade funcionam.

A botnet foi detectada em mais de 10% das empresas da Fortune 500, em cerca de 1.500 redes de universidades e mais de 200 organizações financeiras e governamentais.

A botnet visa especificamente utilizadores corporativos, com emails de phishing sofisticados, e evita a detecção porque tudo o que faz é colocar alguns anúncios. “Ela fica misturada no tráfego regular de navegação na Internet”, explicou Bandeali.

A forma como este golpe funciona em particular é porque os criminosos criam um “site fantasma” – com alguns artigos falsos e um monte de espaço publicitário. Em seguida, o criminoso vai a programas de publicidade e vende anúncios nesse site. Esses programas fornecer pedaços de código – “ad tags” – que o criminoso coloca no site falso.

Normalmente, é então que a fraude de anúncios pára, mas os anunciantes estão a descobrir que esses sites não são realmente visitados por pessoas comuns, apenas por botnets.

Neste caso particular, os golpistas exploram uma vulnerabilidade no protocolo da publicidade e falsificam o nome de domínio, fazendo com que pareça como se o anúncio tenha sido visto num site popular de notícias de negócios, em vez de no seu falso site.

Isto, combinado com o facto de que o visitante está a vir de uma grande organização, significa que o anunciante está disposto a pagar mais por esse tráfego.

“Esta botnet tem uma lista de mais de 500 mil nomes de domínio que os utilizadores dessas corporações visitam de forma regular, e usa-os para carregar as ‘tags’ dos anúncios”, disse Bandeali.

É difícil para os programas de anúncios monitorizarem isto porque o espaço do anúncio é normalmente vendido e revendido por várias camadas de agregadores, em tempo real.

Além disso, a botnet não tenta clicar no anúncio, o que podia atrair um maior escrutínio, mas apenas finge que uma pessoa viu o anúncio.