帮助TDS活动使用Hotejka和Cloudflare Pages进行流量重定向

摘要

Hotejka 是一个俄语附属计划，利用帮助流量分配系统 (TDS) 来分发技术支持诈骗。该操作依赖于大量一次性 Cloudflare Pages 域名来托管恐吓软件内容，并将受害者重定向到恶意呼叫中心。建立联系后，攻击者使用社会工程说服受害者安装如 UltraViewer 之类的远程桌面工具，从而实现未经授权的系统访问。

调查

研究人员通过分析历史 DNS 记录、附属推广模式和重复的 C2 机制，将 Hotejka 链接到重新品牌化的 ROI777 操作。调查揭露了广泛使用域名生成算法 (DGA) 来创建成千上万的 Cloudflare Pages 子域。分析人员能够对这些 DGA 进行逆向工程，并在域名变得活跃前大约七天预测出恶意域名。

缓解

组织应部署预测 DNS 安全控制措施，以阻止与已知 TDS 模式相关联的新创建或算法生成的域名。监控未经授权安装的远程桌面软件，包括 UltraViewer 也至关重要。安全团队还应关注可疑的 DNS CNAME 重定向和未经授权的 WordPress 插件修改。

响应

当检测到指标时，组织应立即在 DNS 和防火墙层面阻止识别出来的域名和 IP 地址。进行主机级调查以寻找未经授权的远程访问工具，并检查系统中存在可疑的浏览器扩展或恶意插件。审核网络日志中与 Hotejka DGA 相关的流量模式以及异常的 CNAME 重定向链。

模拟执行

• 攻击叙述 & 命令： 对手旨在通过流量分配系统 (TDS) 将受害者重定向来促进技术支持骗局。为了规避传统的基于信誉的过滤器，对手在 Cloudflare Pages 上托管 TDS。模拟涉及一个内部“已感染”主机向已知的恶意子域进行外部请求： linen-thorn-wild.pages.dev。此操作模拟用户被重定向到 TDS 的时刻，生成规则设计用来捕获的精确域名遥测数据。

• 回归测试脚本： 此脚本使用 curl 来模拟与恶意域名的传出连接，确保请求显示为代理日志中的外部网络事件。

  #!/bin/bash
  # 模拟与 Hotejka 的帮助 TDS 域的传出连接
  
  TARGET_DOMAIN="linen-thorn-wild.pages.dev"
  
  echo "[+] 开始模拟: 连接至 $TARGET_DOMAIN"
  
  # 使用 curl 触发传出 GET 请求
  # -s: 静默, -L: 跟随重定向 (模拟 TDS 行为), -I: 仅获取头部
  curl -sL -I "https://$TARGET_DOMAIN"
  
  if [ $? -eq 0 ]; then
    echo "[+] 成功执行模拟命令。"
  else
    echo "[!] 模拟命令失败。检查连接性。"
  fi

• 清理命令：

  # 无需清理，因为这是一个只读网络请求模拟。
  echo "[+] 模拟清理完成。"