TDS 캠페인은 Hotejka와 Cloudflare Pages를 사용하여 트래픽 리디렉션을 지원합니다

요약

Hotejka는 기술 지원 사기를 배포하기 위해 헬프 트래픽 분배 시스템 (TDS)을 운영하는 러시아어 제휴 프로그램입니다. 이 운영은 많이 소모될 수 있는 클라우드플레어 페이지 도메인을 사용하여 피해자를 악성 콜 센터로 리디렉션하는 겁쟁이 소프트웨어 콘텐츠를 호스팅합니다. 공격자들은 연락을 취한 후, 피해자에게 UltraViewer 같은 원격 데스크톱 도구를 설치하도록 유도하여 무단 시스템 접근을 가능하게 합니다.

조사

연구자들은 역사적인 DNS 기록, 제휴 프로그램 홍보 패턴, 반복적인 C2 메커니즘 분석을 통해 Hotejka를 ROI777의 리브랜딩된 운영과 연결했습니다. 조사는 수천 개의 클라우드플레어 페이지 하위 도메인을 생성하기 위해 도메인 생성 알고리즘 (DGA)을 광범위하게 사용했음을 발견했습니다. 분석가들은 이 DGA들을 역설계하고 악성 도메인이 운영되기 약 7일 전에 이를 예측할 수 있었습니다.

완화

조직은 예측 DNS 보안 통제를 배포하여 알려진 TDS 패턴과 관련된 새롭게 생성되거나 알고리즘적으로 생성된 도메인을 차단해야 합니다. UltraViewer를 포함한 원격 데스크톱 소프트웨어의 무단 설치를 모니터링하는 것도 중요합니다. 보안 팀은 또한 의심스러운 DNS CNAME 리디렉션과 WordPress 플러그인에 대한 무단 수정 점을 주의 깊게 지켜봐야 합니다.

대응

지표가 감지되면 조직은 즉시 식별된 도메인과 IP 주소를 DNS 및 방화벽 계층에서 차단해야 합니다. 호스트 수준에서 무단 원격 액세스 도구에 대한 조사를 수행하고 시스템의 의심스러운 브라우저 확장 프로그램 또는 악성 플러그인을 검사해야 합니다. Hotejka DGA 및 비정상적인 CNAME 리다이렉션 체인과 관련된 트래픽 패턴을 웹 로그에서 검토하세요.

시뮬레이션 실행

• 공격 서사 및 명령: 적은 피해자를 트래픽 배포 시스템 (TDS)을 통해 리디렉션하여 기술 지원 사기를 용이하게 하는 것을 목표로 합니다. 전통적인 평판 기반 필터를 피하기 위해 적은 TDS를 Cloudflare Pages에 호스팅합니다. 시뮬레이션은 알려진 악성 하위 도메인 중 하나에 대한 외부 요청을 수행하는 내부 “감염된” 호스트를 포함합니다: linen-thorn-wild.pages.dev. 이 행동은 사용자가 TDS로 리디렉션되는 순간을 시뮬레이션하여 규칙이 감지하도록 설계된 정확한 도메인 텔레메트리를 생성합니다.

• 회귀 테스트 스크립트: 이 스크립트는 curl 을 사용하여 악성 도메인으로의 외부 연결을 시뮬레이션하여 요청이 프록시 로그에서 외부 네트워크 이벤트로 나타나도록 합니다.

  #!/bin/bash
  # Hotejka의 Help TDS 도메인에 대한 외부 연결 시뮬레이션
  
  TARGET_DOMAIN="linen-thorn-wild.pages.dev"
  
  echo "[+] 시뮬레이션 시작: $TARGET_DOMAIN에 연결 중"
  
  # curl을 사용하여 외부 GET 요청 트리거
  # -s: 조용히, -L: 리디렉션 따라감 (TDS 동작 시뮬레이션), -I: 헤더만 가져옴
  curl -sL -I "https://$TARGET_DOMAIN"
  
  if [ $? -eq 0 ]; then
    echo "[+] 시뮬레이션 명령이 성공적으로 실행되었습니다."
  else
    echo "[!] 시뮬레이션 명령 실패. 연결을 확인하십시오."
  fi

• 정리 명령:

  # 이 읽기 전용 네트워크 요청 시뮬레이션으로는 정리가 필요하지 않습니다.
  echo "[+] 시뮬레이션 정리 완료."