Campanhas Help TDS Usam Hotejka e Cloudflare Pages para Redirecionamento de Tráfego

Resumo

Hotejka é um programa de afiliados em língua russa que opera um Sistema de Distribuição de Tráfego de Ajuda (TDS) para distribuir golpes de suporte técnico. A operação depende de um grande número de domínios descartáveis de Páginas Cloudflare para hospedar conteúdos de scareware e redirecionar vítimas para centrais de chamadas maliciosas. Depois de estabelecer contato, os atacantes usam engenharia social para convencer as vítimas a instalar ferramentas de desktop remoto, como UltraViewer, permitindo acesso não autorizado ao sistema.

Investigação

Pesquisadores vincularam Hotejka a uma operação rebatizada de ROI777 por meio de análise de registros históricos de DNS, padrões de promoção de afiliados e mecanismos C2 recorrentes. A investigação descobriu o uso extensivo de Algoritmos de Geração de Domínios (DGA) para criar milhares de subdomínios de Páginas Cloudflare. Os analistas conseguiram reverter a engenharia desses DGAs e prever domínios maliciosos aproximadamente sete dias antes de se tornarem operacionais.

Mitigação

As organizações devem implantar controles de segurança preditivos de DNS para bloquear domínios recém-criados ou gerados algoritmicamente associados a padrões conhecidos de TDS. Monitorar a instalação não autorizada de softwares de desktop remoto, incluindo UltraViewer, também é crítico. As equipes de segurança devem adicionalmente observar redirecionamentos suspeitos de DNS CNAME e modificações não autorizadas em plugins do WordPress.

Resposta

Quando indicadores são detectados, as organizações devem bloquear imediatamente os domínios e endereços IP identificados nas camadas DNS e de firewall. Realizar investigações a nível de host para ferramentas de acesso remoto não autorizadas e inspecionar sistemas para extensões de navegador suspeitas ou plugins maliciosos. Revisar logs da web para padrões de tráfego associados ao DGA do Hotejka e cadeias de redirecionamento CNAME incomuns.

Execução de Simulação

• Narrativa do Ataque & Comandos: O adversário visa facilitar um golpe de suporte técnico redirecionando vítimas através de um Sistema de Distribuição de Tráfego (TDS). Para evitar filtros baseados em reputação tradicionais, o adversário hospeda o TDS em Páginas Cloudflare. A simulação envolve um host “infectado” interno fazendo uma solicitação de saída para um dos subdomínios maliciosos conhecidos: linen-thorn-wild.pages.dev. Esta ação simula o momento em que um usuário é redirecionado para o TDS, gerando a exata telemetria de domínio que a regra foi projetada para capturar.

• Script de Teste de Regressão: Este script usa curl para simular uma conexão de saída para o domínio malicioso, garantindo que a solicitação apareça como um evento de rede de saída nos logs do proxy.

  #!/bin/bash
  # Simulação de conexão de saída para domínio de Ajuda TDS da Hotejka
  
  TARGET_DOMAIN="linen-thorn-wild.pages.dev"
  
  echo "[+] Iniciando simulação: Conectando a $TARGET_DOMAIN"
  
  # Usando curl para disparar uma solicitação GET de saída
  # -s: silencioso, -L: seguir redirecionamentos (simulando comportamento do TDS), -I: buscar apenas cabeçalhos
  curl -sL -I "https://$TARGET_DOMAIN"
  
  if [ $? -eq 0 ]; then
    echo "[+] Comando de simulação executado com sucesso."
  else
    echo "[!] Falha no comando de simulação. Verifique a conectividade."
  fi

• Comandos de Limpeza:

  # Nenhuma limpeza requerida já que esta foi uma simulação de solicitação de rede somente leitura.
  echo "[+] Limpeza da simulação concluída."