Kampanie TDS z pomocą Hotejka i Cloudflare Pages do przekierowywania ruchu

Podsumowanie

Hotejka to rosyjskojęzyczny program partnerski obsługujący system dystrybucji ruchu pomocowego (TDS) do rozpowszechniania oszustw związanych z pomocą techniczną. Operacja opiera się na dużej liczbie tymczasowych domen Cloudflare Pages, które hostują treści typu scareware i przekierowują ofiary do złośliwych centrów obsługi telefonicznej. Po nawiązaniu kontaktu atakujący wykorzystują inżynierię społeczną, aby przekonać ofiary do zainstalowania narzędzi do zdalnego pulpitu, takich jak UltraViewer, co umożliwia nieautoryzowany dostęp do systemu.

Śledztwo

Badacze powiązali Hotejkę z przemianowaną operacją ROI777 poprzez analizę historycznych zapisów DNS, wzorców promocyjnych partnerów i powtarzających się mechanizmów C2. Śledztwo odkryło szerokie wykorzystanie algorytmów generowania domen (DGA) do tworzenia tysięcy subdomen Cloudflare Pages. Analitycy byli w stanie zrewersować te DGA i przewidzieć złośliwe domeny około siedem dni, zanim stały się operacyjne.

Łagodzenie

Organizacje powinny wdrożyć prognozowane mechanizmy zabezpieczeń DNS, aby blokować nowo utworzone lub generowane algorytmicznie domeny powiązane z znanymi wzorcami TDS. Monitorowanie nieautoryzowanej instalacji oprogramowania zdalnego pulpitu, w tym UltraViewer, jest również kluczowe. Zespoły ds. bezpieczeństwa powinny ponadto obserwować podejrzane przekierowania DNS typu CNAME i nieautoryzowane modyfikacje wtyczek WordPress.

Odpowiedź

Gdy zostaną wykryte wskaźniki, organizacje powinny natychmiast blokować zidentyfikowane domeny i adresy IP na poziomie DNS i zapory. Przeprowadź badania na poziomie hosta w celu wykrycia nieautoryzowanych narzędzi zdalnego dostępu i sprawdź systemy pod kątem podejrzanych rozszerzeń przeglądarki lub złośliwych wtyczek. Przeglądaj logi internetowe w poszukiwaniu wzorców ruchu związanych z DGA Hotejka i nietypowymi łańcuchami przekierowań CNAME.

Wykonanie symulacji

• Opis ataku i komendy: Przeciwnik ma na celu ułatwienie oszustwa technicznego poprzez przekierowywanie ofiar za pomocą systemu dystrybucji ruchu (TDS). Aby uniknąć tradycyjnych filtrów opartych na reputacji, przeciwnik hostuje TDS na stronach Cloudflare. Symulacja obejmuje wewnętrznego hosta „zainfekowanego”, który wykonuje wychodzące żądanie do jednego z znanych złośliwych subdomen: linen-thorn-wild.pages.dev. Ta akcja symuluje moment, gdy użytkownik zostaje przekierowany do TDS, generując dokładną telemetrię domeny, którą reguła jest zaprojektowana do wychwycenia.

• Skrypt testu regresji: Ten skrypt używa curl do symulacji wychodzącego połączenia z złośliwą domeną, zapewniając, że żądanie pojawia się jako zdarzenie sieciowe wychodzące w logach proxy.

  #!/bin/bash
  # Symulacja połączenia wychodzącego do domeny Help TDS Hotejki
  
  TARGET_DOMAIN="linen-thorn-wild.pages.dev"
  
  echo "[+] Rozpoczęcie symulacji: Połączenie z $TARGET_DOMAIN"
  
  # Używanie curl do wyzwolenia wychodzącego żądania GET
  # -s: cichy, -L: podążaj za przekierowaniami (symulowanie zachowania TDS), -I: pobierz tylko nagłówki
  curl -sL -I "https://$TARGET_DOMAIN"
  
  if [ $? -eq 0 ]; then
    echo "[+] Komenda symulacji wykonana pomyślnie."
  else
    echo "[!] Komenda symulacji nie powiodła się. Sprawdź łączność."
  fi

• Polecenia czyszczenia:

  # Nie jest wymagane czyszczenie, ponieważ była to tylko symulacja żądania sieciowego do odczytu.
  echo "[+] Czyszczenie symulacji zakończone."