Hilfe für TDS-Kampagnen: Hotejka und Cloudflare Pages für Traffic-Umleitung nutzen

Zusammenfassung

Hotejka ist ein russischsprachiges Partnerprogramm, das ein Help Traffic Distribution System (TDS) betreibt, um Support-Betrugsmaschen zu verbreiten. Die Operation stützt sich auf eine große Anzahl von Wegwerf-Domains bei Cloudflare Pages, um Scareware-Inhalte zu hosten und Opfer zu böswilligen Callcentern umzuleiten. Nach der Kontaktaufnahme nutzen Angreifer Social Engineering, um Opfer zur Installation von Remote-Desktop-Tools wie UltraViewer zu überreden, wodurch unbefugter Systemzugriff ermöglicht wird.

Untersuchung

Forscher verknüpften Hotejka mit einer umbenannten ROI777-Operation durch die Analyse historischer DNS-Aufzeichnungen, Partnerpromotionsmuster und wiederkehrender C2-Mechanismen. Die Untersuchung entdeckte umfassenden Einsatz von Domain Generation Algorithms (DGA) zur Erstellung von Tausenden von Cloudflare Pages Subdomains. Analysten konnte diese DGAs zurückentwickeln und schädliche Domains ungefähr sieben Tage vor ihrem Einsatz vorhersagen.

Abschwächung

Organisationen sollten prädiktive DNS-Sicherheitskontrollen einsetzen, um neu erstellte oder algorithmisch generierte Domains, die mit bekannten TDS-Mustern in Verbindung stehen, zu blockieren. Die Überwachung auf unbefugte Installationen von Remote-Desktop-Software, einschließlich UltraViewer, ist ebenfalls entscheidend. Sicherheitsteams sollten zudem auf verdächtige DNS-CNAME-Weiterleitungen und unbefugte Änderungen an WordPress-Plugins achten.

Reaktion

Wenn Indikatoren entdeckt werden, sollten Organisationen die identifizierten Domains und IP-Adressen sofort auf DNS- und Firewall-Ebene blockieren. Führen Sie Untersuchungen auf Host-Ebene für unbefugte Remote-Access-Tools durch und überprüfen Sie Systeme auf verdächtige Browsererweiterungen oder böswillige Plugins. Überprüfen Sie Webprotokolle auf mit Hotejka DGA verbundene Verkehrsmuster und ungewöhnliche CNAME-Weiterleitungsketten.

Simulation-Ausführung

• Angriffsnarrative & Befehle: Der Gegner beabsichtigt, einen Support-Betrug zu erleichtern, indem er Opfer durch ein Traffic Distribution System (TDS) umleitet. Um traditionelle filterbasierte Filter zu umgehen, hostet der Gegner das TDS auf Cloudflare Pages. Die Simulation beinhaltet einen internen „infizierten“ Host, der eine ausgehende Anfrage an eine der bekannten bösartigen Subdomains stellt: linen-thorn-wild.pages.dev. Diese Aktion simuliert den Moment, in dem ein Benutzer zum TDS umgeleitet wird, und erzeugt die genaue Domain-Telemetrie, die die Regel erfassen soll.

• Rücklauftest-Skript: Dieses Skript verwendet curl , um eine ausgehende Verbindung zur bösartigen Domain zu simulieren und sicherzustellen, dass die Anfrage als ausgehendes Netzwerkereignis in den Proxyprotokollen erscheint.

  #!/bin/bash
  # Simulation einer ausgehenden Verbindung zur Hotejka Help TDS-Domain
  
  TARGET_DOMAIN="linen-thorn-wild.pages.dev"
  
  echo "[+] Simulation starten: Verbindung zu $TARGET_DOMAIN"
  
  # Verwendung von curl, um eine ausgehende GET-Anfrage auszulösen
  # -s: leise, -L: Weiterleitungen folgen (simuliert TDS-Verhalten), -I: Header nur abrufen
  curl -sL -I "https://$TARGET_DOMAIN"
  
  if [ $? -eq 0 ]; then
    echo "[+] Simulationsbefehl erfolgreich ausgeführt."
  else
    echo "[!] Simulationsbefehl fehlgeschlagen. Konnektivität überprüfen."
  fi

• Aufräumbefehle:

  # Kein Aufräumen erforderlich, da dies eine read-only Netzwerk-Anforderungssimulation war.
  echo "[+] Simulationsaufräumung abgeschlossen."