Una operación de fraude publicitario denominada Scallywag monetiza sitios de piratería, como películas o software, y servicios de acortamiento de URL. Para ello utiliza plugins de WordPress especialmente diseñados que generan miles de millones de solicitudes fraudulentas diarias.
Descubrimiento y alcance
Scallywag fue descubierto por la empresa Human Security, que mapeó una red de 407 dominios que respaldaban la operación. La actividad alcanzó un máximo de 1.400 millones de solicitudes de anuncios fraudulentos al día.
Mecanismo y características
Los sitios afectados muestran anuncios y contenido de manera diferente cuando se visitan directamente, similar a amenazas anteriores como Camu y Merry-Go-Round. La operación utiliza cuatro plugins de WordPress: Soralink (2016), Yu Idea (2017), WPSafeLink (2020) y Droplink (2022). Human Security afirma que varios actores de amenazas independientes compran y utilizan estos plugins para crear sus propios esquemas de fraude publicitario, y algunos incluso publican tutoriales en YouTube sobre cómo hacerlo.
Modelo de monetización
Droplink es la única excepción al modelo de ventas, ya que está disponible de forma gratuita mediante la realización de varios pasos para generar ingresos para los vendedores. Los usuarios que visitan sitios web de catálogos de piratería para encontrar películas o software premium hacen clic en enlaces incrustados con URL acortadas y son redirigidos a través de la infraestructura de cobro de la operación.
Proceso de redirección
El proceso de redirección lleva al visitante a través de páginas intermediarias repletas de anuncios que generan impresiones fraudulentas para los operadores de Scallywag, y termina en una página que alberga el contenido prometido (software o película). Los sitios intermediarios son sitios de WordPress que ejecutan los complementos de Scallywag. Estos gestionan la lógica de redirección, la carga de anuncios, el CAPTCHA, el temporizador y el mecanismo de encubrimiento, que muestra un blog limpio en las comprobaciones de la plataforma publicitaria.
Interrupción de Scallywag
HUMAN detectó la actividad de Scallywag al analizar los patrones de tráfico en su red de socios, como el alto volumen de impresiones de anuncios de blogs de WordPress aparentemente inofensivos, el comportamiento de encubrimiento y los tiempos de espera forzados o la interacción con CAPTCHA antes de la redirección. Posteriormente, clasificó la red como fraudulenta, trabajando con los proveedores de publicidad para detener la puja por las solicitudes de anuncios y recortar el flujo de ingresos de Scallywag.
En respuesta, los actores de Scallywag intentaron evadir la detección utilizando nuevos dominios de cobro y cadenas de redireccionamiento abiertas para ocultar al remitente real, pero HUMAN afirma que también los detectó y bloqueó. Como resultado, el tráfico diario de fraude publicitario de Scallywag se redujo de 1400 millones a casi cero, y muchos afiliados abandonaron el método y recurrieron a otras estafas.
Aunque el ecosistema de Scallywag ha colapsado económicamente, es probable que sus operadores sigan intentando evadir las medidas de mitigación y recuperar las ganancias.