「ウィルスに感染してます」とでるフェイクアラートの発生源は「広告」

はじめに

　このブログの過去記事やら見て確認作業など行っていたところ、突然リダイレクトされて ESET がブロックしたとの表示が出てきた。
　リダイレクトされた URL を元にして調べると、巷で流行っている「ウィルスに感染してます」というメッセージを表示した上で閲覧者の不安を煽り何かしらの情報を搾取するとかダウンロードさせて何かしら感染させようとする、金を払わせるといった簡単に言えば詐欺サイトに接続されていたようだった。

原因を探ってみる

　最初は WordPress で使用しているプラグインに何かあるのかなーとか思って該当する文字列を一括して探してみたけど見当たらず。
　次に該当ドメイン名でググったりしていたら結局の所、配信された広告に不正なページへリダイレクトするようなコードが埋め込まれた物が表示されることがあり、運悪くそう言った広告を引き当てた場合にリダイレクトされてしまう動作となっていた。

挙動

　不正なリダイレクトを行う広告を表示すると、先ず nextoptim という文字の含まれるドメインにリダイレクトされる。
　そこから更に別のドメインへ数回リダイレクトされた後、最終的には assyscleaner の文字が含まれるドメインに接続された。

　でもって次のような表示が行われる。

　これは意図的に仮想マシン上でアクセスしてみた物。
　このページが表示された場合、既に数回のリダイレクトを経ているのでブラウザの戻るボタンを押すなりしても意味は無い。連打すれば元のページに戻る可能性もあるが、その場合の挙動も正しい物となる保証はないので表示されたコンテンツ上をクリックしないようにしてタブを閉じるとかブラウザ自体を閉じてしまえば良い。

　広告にこうした不正なリダイレクトが仕込まれるのは既に過去の物と思っていたけど昨年末から現在にかけてまた流行りだしているようだ。
　当ブログでは Google AdSense を主体に広告を入れさせて頂いているので原因は明白という事で。

　筆者は昨年末に別件で同様のページが表示されてしまうと相談を受けた事があるのだが、その際にアクセスしていたのは MSN のトップページだった。
　今確認してみると MSN のトップの上部には Google AdSense の広告が入っていたので本記事の内容とも合致。

おわりに

　この件に関しては広告配信を行っている Google の対応を待つほか無いかと思われる。
　若しくは uBlock Origin 等のブラウザ拡張機能で広告をブロックしてしまうのも手だ。
　広告を入れているのにこういう事を言うのもアレなんだけど、広告を入れるというサイト運営者の自由もあれば広告をブロックするユーザーの自由も同じ様にあるのでそれはそれと言う事で。

追記

2019/01/17 9:00

　再度同じ現象が発生したので 1 ステップずつ確実に追ってみたところ、次のようになった。(TLD (( Top Level Domain)) は念のため省略)

1. Google が広告配信を行っているドメインのひとつである doubleclick.net より bestsadssale を含むドメインにリダイレクト
2. trckgrt を含むドメイン名にリダイレクト
3. nextoptim を含むドメインにリダイレクト
4. dailypromos を含むドメインにリダイレクト
5. 「4.」のドメイン内部で 4 回のリダイレクト。これでブラウザの「戻る」を効きづらくしていると思われる。
6. そして本記事に掲載した「ウィルスに感染してます」というメッセージが表示。

　対策として Google AdSense の管理画面より「1.」のリダイレクト先ドメインをブロックする事で配信されないようにした。
　これは doubleclick.net に続くコンテンツへの引数に含まれる「adurl=」以降が広告主になるので、該当ドメインの URL をコピーすれば OK。自分でクリックして確認する事は規約違反なので絶対にやらないように。

2019/01/20 5:00

　先日は怪しいと思ったドメインのうち 1 つを Google AdSense 管理画面からブロックをしてみたが、またリダイレクトが発生してしまった。
　なんで配信ブロックしてるのに…… と adurl= に続くアドレスを見てもやはりブロックしたアドレスその物だった。
　ちょっと意味がよく分からないなということで、その先の更に怪しいドメインも全て追加してあげた。
　更に表示される確率が下がるように「関連コンテンツユニット」を用いた広告を外しておくこととした。