Les campagnes TDS d’aide utilisent Hotejka et Cloudflare Pages pour la redirection de trafic

Résumé

Hotejka est un programme d’affiliation russophone opérant un système de distribution de trafic (TDS) pour diffuser des escroqueries de support technique. L’opération repose sur un grand nombre de domaines jetables Cloudflare Pages pour héberger du contenu effrayant et rediriger les victimes vers des centres d’appels malveillants. Après avoir établi un contact, les attaquants utilisent l’ingénierie sociale pour persuader les victimes d’installer des outils de bureau à distance tels qu’UltraViewer, permettant un accès système non autorisé.

Investigation

Les chercheurs ont lié Hotejka à une opération rebaptisée ROI777 à travers l’analyse des enregistrements DNS historiques, des modèles de promotion d’affiliation et des mécanismes C2 récurrents. L’enquête a révélé une utilisation extensive d’algorithmes de génération de domaines (DGA) pour créer des milliers de sous-domaines Cloudflare Pages. Les analystes ont pu rétroconcevoir ces DGA et prédire les domaines malveillants environ sept jours avant qu’ils ne deviennent opérationnels.

Atténuation

Les organisations devraient déployer des contrôles de sécurité DNS prédictifs pour bloquer les domaines nouvellement créés ou générés algorithmiquement associés à des modèles TDS connus. La surveillance de l’installation non autorisée de logiciels de bureau à distance, y compris UltraViewer, est également essentielle. Les équipes de sécurité devraient également surveiller les redirections DNS CNAME suspectes et les modifications non autorisées des plugins WordPress.

Réponse

Lorsque des indicateurs sont détectés, les organisations devraient immédiatement bloquer les domaines et adresses IP identifiés au niveau du DNS et du pare-feu. Effectuer des enquêtes au niveau de l’hôte pour les outils d’accès à distance non autorisés et inspecter les systèmes à la recherche d’extensions de navigateur suspectes ou de plugins malveillants. Examiner les journaux Web pour les modèles de trafic associés à la DGA Hotejka et aux chaînes de redirection CNAME inhabituelles.

Exécution de simulation

• Narratif & Commandes de l’attaque : L’adversaire vise à faciliter une escroquerie de support technique en redirigeant les victimes via un système de distribution de trafic (TDS). Pour échapper aux filtres de réputation traditionnels, l’adversaire héberge le TDS sur Cloudflare Pages. La simulation implique un hôte « infecté » interne effectuant une requête sortante vers l’un des sous-domaines malveillants connus : linen-thorn-wild.pages.dev. Cette action simule le moment où un utilisateur est redirigé vers le TDS, générant la télémétrie de domaine exacte que la règle est conçue pour capter.

• Script de test de régression : Ce script utilise curl pour simuler une connexion sortante au domaine malveillant, s’assurant que la requête apparaisse comme un événement réseau sortant dans les journaux proxy.

  #!/bin/bash
  # Simulation de connexion sortante vers le domaine TDS d'aide de Hotejka
  
  TARGET_DOMAIN="linen-thorn-wild.pages.dev"
  
  echo "[+] Démarrage de la simulation : Connexion à $TARGET_DOMAIN"
  
  # Utilisation de curl pour déclencher une requête GET sortante
  # -s: silencieux, -L: suivre les redirections (simulant le comportement TDS), -I: récupérer uniquement les en-têtes
  curl -sL -I "https://$TARGET_DOMAIN"
  
  if [ $? -eq 0 ]; then
    echo "[+] Commande de simulation exécutée avec succès."
  else
    echo "[!] Échec de la commande de simulation. Vérifiez la connectivité."
  fi

• Commandes de nettoyage :

  # Pas de nettoyage requis car il s'agit d'une simulation de requête réseau en lecture seule.
  echo "[+] Nettoyage de la simulation terminé."