Кампанії Help TDS використовують Hotejka і Cloudflare Pages для перенаправлення трафіку

Резюме

Hotejka є російськомовною партнерською програмою, що використовує Систему Розподілу Трафіку (TDS) для поширення шахрайських схем технічної підтримки. Операція спирається на велику кількість одноразових доменів Cloudflare Pages для розміщення лякливої інформації та перенаправлення жертв у зловмисні кол-центри. Після встановлення контакту, зловмисники використовують соціальну інженерію, щоб переконати жертв встановити інструменти віддаленого доступу, такі як UltraViewer, що дозволяє несанкціонований доступ до системи.

Розслідування

Дослідники пов’язали Hotejka з операцією під ребрендингом ROI777 шляхом аналізу історичних записів DNS, моделей партнерських промоцій та повторюваних механізмів C2. Розслідування виявило широке використання алгоритмів генерації доменів (DGA) для створення тисяч піддоменів Cloudflare Pages. Аналітики змогли реверс-інженерувати ці DGA і передбачити зловмисні домени приблизно за сім днів до їх активації.

Заходи для протидії

Організаціям слід впровадити передбачувальні засоби захисту DNS для блокування новостворених чи алгоритмічно згенерованих доменів, пов’язаних із відомими патернами TDS. Важливо також моніторити несанкціоновану інсталяцію програм для віддаленого доступу, в т. ч. UltraViewer. Команди безпеки повинні додатково спостерігати за підозрілими переадресаціями DNS CNAME і неавторизованими змінами у плагінах WordPress.

Реакція

Коли виявляються індикатори, організаціям слід негайно блокувати виявлені домени та IP-адреси на рівні DNS та брандмауера. Проведіть розслідування на рівні хосту для несанкціонованих інструментів віддаленого доступу та перевірте системи на підозрілі розширення браузера чи зловмисні плагіни. Перегляньте веб-логи на предмет шаблонів трафіку, пов’язаних з Hotejka DGA, і незвичайних ланцюгів переадресації CNAME.

Виконання симуляції

• Опис атаки та команди: Зловмисник має намір реалізувати шахрайську схему технічної підтримки, перенаправляючи жертв через Систему Розподілу Трафіку (TDS). Щоб уникнути традиційних фільтрів репутації, зловмисник розміщує TDS на Cloudflare Pages. Симуляція включає внутрішній “заражений” хост, що здійснює вихідний запит до одного з відомих зловмисних піддоменів: linen-thorn-wild.pages.dev. Ця дія моделює момент, коли користувач перенаправляється на TDS, генеруючи саме ту телеметрію доменів, яку правило призначене перехоплювати.

• Скрипт регресивного тестування: Цей скрипт використовує curl щоб симулювати вихідне підключення до зловмисного домену, забезпечуючи відображення запиту як вихідної мережевої події в проксі-логах.

  #!/bin/bash
  # Симуляція вихідного з'єднання з доменом Hotejka's Help TDS
  
  TARGET_DOMAIN="linen-thorn-wild.pages.dev"
  
  echo "[+] Початок симуляції: Підключення до $TARGET_DOMAIN"
  
  # Використання curl для ініціювання вихідного запиту GET
  # -s: безшумний, -L: слідувати за редиректами (симуляція поведінки TDS), -I: отримати лише заголовки
  curl -sL -I "https://$TARGET_DOMAIN"
  
  if [ $? -eq 0 ]; then
    echo "[+] Команда симуляції виконана успішно."
  else
    echo "[!] Невдача виконання команди симуляції. Перевірте з'єднання."
  fi

• Команди очищення:

  # Очищення не потрібно, оскільки це була лише симуляція запиту в мережі тільки для читання.
  echo "[+] Очищення симуляції завершено."