Las campañas TDS de Help utilizan Hotejka y Cloudflare Pages para redireccionar el tráfico

Resumen

Hotejka es un programa de afiliados de habla rusa que opera un Sistema de Distribución de Tráfico de Ayuda (TDS) para distribuir estafas de soporte técnico. La operación depende de un gran número de dominios desechables de Cloudflare Pages para alojar contenido de scareware y redirigir a las víctimas hacia centros de llamadas maliciosos. Tras establecer contacto, los atacantes utilizan ingeniería social para persuadir a las víctimas de instalar herramientas de escritorio remoto como UltraViewer, lo que permite el acceso no autorizado al sistema.

Investigación

Los investigadores vincularon a Hotejka con una operación de ROI777 renombrada mediante el análisis de registros DNS históricos, patrones de promoción de afiliados y mecanismos C2 recurrentes. La investigación descubrió un uso extensivo de Algoritmos de Generación de Dominios (DGA) para crear miles de subdominios de Cloudflare Pages. Los analistas pudieron realizar ingeniería inversa de estos DGA y predecir dominios maliciosos aproximadamente siete días antes de que se volvieran operativos.

Mitigación

Las organizaciones deben desplegar controles de seguridad de DNS predictivos para bloquear dominios recién creados o generados algorítmicamente asociados con patrones conocidos de TDS. También es crítico monitorear la instalación no autorizada de software de escritorio remoto, incluyendo UltraViewer. Los equipos de seguridad deberían además vigilar los redireccionamientos de DNS CNAME sospechosos y las modificaciones no autorizadas en plugins de WordPress.

Respuesta

Cuando se detectan indicadores, las organizaciones deben bloquear de inmediato los dominios y direcciones IP identificados a nivel de DNS y capas de firewall. Realizar investigaciones a nivel de host para herramientas de acceso remoto no autorizadas e inspeccionar sistemas en busca de extensiones de navegador sospechosas o plugins maliciosos. Revisar registros web en busca de patrones de tráfico asociados con el DGA de Hotejka y cadenas de redirección CNAME inusuales.

Ejecución de Simulación

• Narrativa de Ataque y Comandos: El adversario busca facilitar una estafa de soporte técnico redirigiendo a las víctimas a través de un Sistema de Distribución de Tráfico (TDS). Para evadir los filtros tradicionales basados en reputación, el adversario aloja el TDS en Cloudflare Pages. La simulación involucra un host «infectado» interno que realiza una solicitud de salida a uno de los subdominios maliciosos conocidos: linen-thorn-wild.pages.dev. Esta acción simula el momento en que un usuario es redirigido al TDS, generando exactamente la telemetría del dominio que la regla está diseñada para detectar.

• Script de Prueba de Regresión: Este script usa curl para simular una conexión saliente al dominio malicioso, asegurando que la solicitud aparezca como un evento de red saliente en los registros de proxy.

  #!/bin/bash
  # Simulación de conexión saliente al dominio de Ayuda TDS de Hotejka
  
  TARGET_DOMAIN="linen-thorn-wild.pages.dev"
  
  echo "[+] Iniciando simulación: Conectando a $TARGET_DOMAIN"
  
  # Uso de curl para activar una solicitud GET saliente
  # -s: silencioso, -L: seguir redirecciones (simulando comportamiento TDS), -I: solo obtener encabezados
  curl -sL -I "https://$TARGET_DOMAIN"
  
  if [ $? -eq 0 ]; then
    echo "[+] Comando de simulación ejecutado con éxito."
  else
    echo "[!] Comando de simulación falló. Verifique la conectividad."
  fi

• Comandos de Limpieza:

  # No se requiere limpieza ya que fue una simulación de solicitud de red de solo lectura.
  echo "[+] Limpieza de simulación completa."