La Web está en las garras de una gran campaña de anuncios publicitarios maliciosos, conocida como malvertising, que afecta docenas de los sitios más populares para adultos y que en total consigue más de 250 millones de visitas mensuales.

Malwarebytes Labs ha descubierto que, convenientemente, estos anuncios maliciosos son para fármacos de mejora sexual. AdXpansion es la red de anuncios que está siendo utilizada para estos ataques.

Tan pronto como el anuncio malicioso se despliega en el navegador de un usuario, intenta explotar una vulnerabilidad, inmediatamente y de forma automática, utilizando Adobe Flash Player (versiones hasta la liberada hace dos meses, 17.0.0.134) sin requerir de clics. Una vez infectado con malware (el tipo varía según la ubicación y otras características del usuario), la información de las víctimas puede ser robada, sus archivos cifrados y secuestrados a cambio de un rescate.

El payload del malware puede variar pero podría resultar en múltiples binarios maliciosos descargados vía un kit de explotación similar al de Neutrino, dijo la firma.

"Es interesante ver la tendencia que tienen los kits de exploits de tomar la apariencia de anunciantes al hacer uso de Flash para servir la 'parte creativa' y el exploit en un único paquete", dijo el investigador de Malwarebytes Jerome Segura en un blog. "Es un tipo de aproximación que parece funcionar eficientemente".

La noticia llega justo días después de que el sitio para adultos xHamster fuera de nuevo el objetivo de una campaña a gran escala de malvertising. En dicha campaña resulta interesante el hecho de que los cibercriminales están cargando diferentes kits de exploits en la PC de la misma víctima para hacer uso de una gran variedad de malware.

Esta campaña en particular abusa del anunciante TrafficHaus y del servicio de reducción de URL de Google. Empieza con un anuncio embebido en el sitio web y con una trampa escondida. Los atacantes inyectan código fuente malicioso detrás del anuncio, que redirige a los usuarios a un enlace corto de Google, y que a su vez es utilizado para dirigir a las víctimas a un kit de exploits de Angler, cuyo objetivo es una vulnerabilidad conocida (y corregida) de corrupción de memoria en Internet Explorer.