Le campagne TDS di aiuto usano Hotejka e Cloudflare Pages per il reindirizzamento del traffico

Riepilogo

Hotejka è un programma affiliato in lingua russa che gestisce un Sistema di Distribuzione del Traffico (TDS) per distribuire le truffe di supporto tecnico. L’operazione fa affidamento su un gran numero di domini Cloudflare Pages usa e getta per ospitare contenuti scareware e reindirizzare le vittime verso call center dannosi. Dopo aver stabilito il contatto, gli attaccanti utilizzano l’ingegneria sociale per convincere le vittime a installare strumenti di desktop remoto come UltraViewer, permettendo l’accesso non autorizzato al sistema.

Indagine

I ricercatori hanno collegato Hotejka a un’operazione ROI777 ribattezzata attraverso l’analisi dei record DNS storici, dei modelli di promozione degli affiliati e dei meccanismi C2 ricorrenti. L’indagine ha scoperto l’uso estensivo di algoritmi di generazione di domini (DGA) per creare migliaia di sottodomini Cloudflare Pages. Gli analisti sono stati in grado di fare il reverse engineering di questi DGA e prevedere domini dannosi circa sette giorni prima che diventassero operativi.

Mitigazione

Le organizzazioni dovrebbero implementare controlli di sicurezza DNS predittivi per bloccare i domini di nuova creazione o generati algoritmicamente associati a modelli TDS noti. È anche fondamentale monitorare l’installazione non autorizzata di software di desktop remoto, incluso UltraViewer. I team di sicurezza dovrebbero inoltre osservare per reindirizzamenti DNS CNAME sospetti e modifiche non autorizzate ai plugin di WordPress.

Risposta

Quando vengono rilevati indicatori, le organizzazioni dovrebbero immediatamente bloccare i domini e gli indirizzi IP identificati a livello di DNS e firewall. Condurre indagini a livello di host per strumenti di accesso remoto non autorizzati e ispezionare i sistemi per estensioni del browser sospette o plugin dannosi. Esaminare i registri web per i modelli di traffico associati al DGA di Hotejka e catene di reindirizzamento CNAME insolite.

Esecuzione della Simulazione

• Descrizione dell’Attacco e Comandi: L’avversario mira a facilitare una truffa di supporto tecnico reindirizzando le vittime attraverso un Sistema di Distribuzione del Traffico (TDS). Per eludere i filtri tradizionali basati sulla reputazione, l’avversario ospita il TDS su Cloudflare Pages. La simulazione coinvolge un host “infetto” interno che effettua una richiesta in uscita a uno dei sottodomini dannosi noti: linen-thorn-wild.pages.dev. Questa azione simula il momento in cui un utente viene reindirizzato al TDS, generando la telemetria del dominio esatta che la regola è progettata per catturare.

• Script di Test di Regressione: Questo script utilizza curl per simulare una connessione in uscita al dominio dannoso, assicurando che la richiesta appaia come un evento di rete in uscita nei registri del proxy.

  #!/bin/bash
  # Simulazione di connessione in uscita al dominio di aiuto TDS di Hotejka
  
  TARGET_DOMAIN="linen-thorn-wild.pages.dev"
  
  echo "[+] Avvio simulazione: Connessione a $TARGET_DOMAIN"
  
  # Utilizzare curl per attivare una richiesta GET in uscita
  # -s: silenzioso, -L: segui i reindirizzamenti (simulando il comportamento TDS), -I: ottieni solo intestazioni
  curl -sL -I "https://$TARGET_DOMAIN"
  
  if [ $? -eq 0 ]; then
    echo "[+] Comando di simulazione eseguito con successo."
  else
    echo "[!] Comando di simulazione fallito. Controllare la connettività."
  fi

• Comandi di Pulizia:

  # Nessuna pulizia richiesta in quanto era una simulazione di richiesta di rete in sola lettura.
  echo "[+] Pulizia della simulazione completata."