Op de populaire pornosite xHamster zijn weer besmette advertenties verschenen die bezoekers met malware proberen te infecteren. Eind januari was het ook al raak op de pornosite, die volgens Alexa op de 68ste plek van meeste bezochte sites op internet staat en maandelijks 514 miljoen bezoekers krijgt.

De advertenties sturen bezoekers ongemerkt door naar een andere pagina waar de Angler Exploitkit op draait. Deze pagina controleert eerst of de bezoeker de virusscanner van Kaspersky Lab of Norton gebruikt. Is dit niet het geval, dan wordt besloten om de gebruiker verder aan te vallen. De Angler Exploitkit maakt misbruik van beveiligingslekken in Internet Explorer, Java, Silverlight en Adobe Flash Player. Anti-virusbedrijf Malwarebytes stelt dat bij deze aanval alleen een oud lek in Internet Explorer wordt gebruikt.

Is de aanval succesvol, dan wordt de Bedep-malware geïnstalleerd. Dezelfde malware die ook eind januari op de website via besmette advertenties werd verspreid. Bedep maakt computers onderdeel van een botnet en kan vervolgens aanvullende malware installeren. Eenmaal actief gebruikt Bedep besmette computers voor het plegen van advertentiefraude. Daarnaast laadt het stilletjes de Magnitude Exploitkit, die ook van beveiligingslekken misbruik maakt, zodat gebruikers met aanvullende malware besmet kunnen raken.