TDSキャンペーンはHotejkaとCloudflare Pagesを使用してトラフィックをリダイレクトする

概要

Hotejkaは、ロシア語のアフィリエイトプログラムであり、技術サポート詐欺を配布するためにヘルプトラフィック分配システム（TDS）を運営しています。この運営は、大量の使い捨て可能なCloudflare Pagesドメインを利用して、スケアウェアコンテンツをホストし、被害者を悪意のあるコールセンターにリダイレクトします。コンタクトが確立されると、攻撃者はソーシャルエンジニアリングを使って被害者にUltraViewerのようなリモートデスクトップツールをインストールさせ、不正なシステムアクセスを可能にします。

調査

研究者は、Hotejkaを再ブランド化されたROI777の運営として、歴史的なDNSレコード、アフィリエイト販促パターン、繰り返されるC2メカニズムの分析を通じて結びつけました。この調査では、Domain Generation Algorithm（DGA）を広範に利用して、数千のCloudflare Pagesサブドメインを生成していることが明らかになりました。アナリストはこれらのDGAを逆エンジニアリングし、悪意のあるドメインが稼働する約7日前に予測することができました。

緩和策

組織は、既知のTDSパターンに関連付けられた新規またはアルゴリズムで生成されたドメインをブロックするために、予測DNSセキュリティコントロールを展開するべきです。また、UltraViewerを含むリモートデスクトップソフトウェアの不正なインストールを監視することも重要です。さらに、セキュリティチームは不審なDNS CNAMEリダイレクトやWordPressプラグインへの不正な変更を監視するべきです。

対応

インジケータが検出された場合、組織は直ちにDNSおよびファイアウォールレイヤーで識別されたドメインとIPアドレスをブロックするべきです。不正なリモートアクセスツールのためのホストレベルの調査を実施し、不審なブラウザ拡張機能や悪意のあるプラグインのためのシステムを検査します。Hotejka DGAに関連付けられたトラフィックパターンや異常なCNAMEリダイレクションチェーンについて、ウェブログを確認してください。

シミュレーション実行

• 攻撃のシナリオ＆コマンド： 攻撃者は、トラフィック分配システム（TDS）を通じて被害者をリダイレクトすることで、技術サポート詐欺を実行しようとしています。伝統的なレピュテーションベースのフィルターを回避するために、攻撃者はCloudflare PagesにTDSをホストします。このシミュレーションは、既知の悪意のあるサブドメインへのアウトバウンドリクエストを行う内部の「感染」ホストを含みます： linen-thorn-wild.pages.dev。このアクションは、ユーザーがTDSにリダイレクトされ、ルールが検出するように設計された正確なドメインテレメトリを生成する瞬間をシミュレートします。

• リグレッションテストスクリプト： このスクリプトは curl を使用して、プロキシログにおけるアウトバウンドネットワークイベントとしてリクエストが表示されることを確認するために、悪意のあるドメインへのアウトバウンド接続をシミュレートします。

  #!/bin/bash
  # HotejkaのヘルプTDSドメインへのアウトバウンド接続のシミュレーション
  
  TARGET_DOMAIN="linen-thorn-wild.pages.dev"
  
  echo "[+] シミュレーション開始: $TARGET_DOMAIN への接続"
  
  # curlを使用してアウトバウンドGETリクエストをトリガー
  # -s: サイレント, -L: リダイレクト追跡（TDS動作をシミュレーション）, -I: ヘッダのみ取得
  curl -sL -I "https://$TARGET_DOMAIN"
  
  if [ $? -eq 0 ]; then
    echo "[+] シミュレーションコマンドが正常に実行されました。"
  else
    echo "[!] シミュレーションコマンドが失敗しました。接続を確認してください。"
  fi

• クリーンアップコマンド：

  # これは読み取り専用のネットワークリクエストシミュレーションのため、クリーンアップは不要です。
  echo "[+] シミュレーションクリーンアップ完了。"