Los actores de amenazas detrás de ClearFake, SocGholish y docenas de otros grupos de delitos electrónicos han establecido asociaciones con otra entidad conocida como VexTrio como parte de un «programa de afiliados criminal» masivo, revelan nuevos hallazgos de Infoblox. El último desarrollo demuestra la «amplitud de sus actividades y la profundidad de sus conexiones dentro de la industria del cibercrimen», dijo la compañía, describiendo a VexTrio como el «mayor intermediario de tráfico malicioso descrito en la literatura de seguridad». VexTrio, que se cree que ha estado activo desde al menos 2017, se ha atribuido a campañas maliciosas que utilizan dominios generados por un algoritmo de generación de dominios de diccionario (DDGA) para propagar estafas, software de riesgo, software espía, software publicitario y programas potencialmente no deseados (PUP). y contenido pornográfico. Esto incluye un grupo de actividad de 2022 que distribuyó el malware Glupteba luego de un intento anterior de Google de eliminar una parte importante de su infraestructura en diciembre de 2021. En agosto de 2023, el grupo también orquestó un ataque generalizado que involucró sitios web de WordPress comprometidos que redirigen condicionalmente a los visitantes a comando y control intermediario (C2) y dominios DDGA. Lo que hizo que las infecciones fueran significativas fue el hecho de que el actor de la amenaza aprovechó el protocolo del Sistema de nombres de dominio (DNS) para recuperar las URL de redireccionamiento, actuando efectivamente como un sistema de distribución (o entrega o dirección) de tráfico (TDS) basado en DNS. Se estima que VexTrio opera una red de más de 70.000 dominios conocidos y gestiona el tráfico de hasta 60 afiliados, incluidos ClearFake, SocGholish y TikTok Refresh. Renée Burton, jefa de inteligencia de amenazas en Infoblox, dijo a The Hacker News que actualmente no se sabe cómo se reclutan los afiliados, aunque se sospecha que los actores de VexTrio pueden estar anunciando sus servicios en foros de la web oscura o al menos tener una forma para otros ciberdelincuentes. para ponerse en contacto con ellos. «VexTrio opera su programa de afiliados de una manera única, proporcionando una pequeña cantidad de servidores dedicados a cada afiliado», dijo Infoblox en un informe detallado compartido con la publicación. «Las relaciones con los afiliados de VexTrio parecen ser de larga data». Sus cadenas de ataque no solo pueden incluir múltiples actores, VexTrio también controla múltiples redes TDS para dirigir a los visitantes del sitio a contenido ilegítimo en función de sus atributos de perfil (por ejemplo, geolocalización, cookies del navegador y configuración de idioma del navegador) con el fin de maximizar las ganancias, mientras filtra. el resto. Estos ataques presentan infraestructura propiedad de diferentes partes en la que los afiliados participantes reenvían el tráfico procedente de sus propios recursos (por ejemplo, sitios web comprometidos) a servidores TDS controlados por VexTrio. En la siguiente fase, este tráfico se retransmite a otros sitios fraudulentos o redes de afiliados maliciosas. «La red de VexTrio utiliza un TDS para consumir tráfico web de otros ciberdelincuentes, así como para vender ese tráfico a sus propios clientes», dijeron los investigadores. «El TDS de VexTrio es un servidor de clúster grande y sofisticado que aprovecha decenas de miles de dominios para gestionar todo el tráfico de red que pasa a través de él». Fuente de la imagen: Unidad 42 de Palo Alto Networks El TDS operado por VexTrio viene en dos versiones, uno que se basa en HTTP que maneja consultas URL con diferentes parámetros, y otro basado en DNS, el último de los cuales comenzó a usarse por primera vez en Julio de 2023. Vale la pena señalar en esta etapa que, si bien SocGholish (también conocido como FakeUpdates) es un afiliado de VexTrio, también opera otros servidores TDS, como Keitaro y Parrot TDS, y este último actúa como un mecanismo para redirigir el tráfico web a la infraestructura de SocGholish. «No hay evidencia de que VexTrio esté usando Parrot TDS», dijo Burton. «VexTrio es significativamente más antiguo que Parrot (es el TDS más antiguo conocido) y utilizan su propio software.» «Los afiliados de VexTrio, como SocGholish, de forma análoga al mundo del marketing legítimo, pueden aprovechar diferentes plataformas para distribuir el tráfico y ganar dinero. Es más probable que Parrot TDS vaya a VexTrio TDS, pero no hemos analizado ese flujo de tráfico». Según la Unidad 42 de Palo Alto Networks, Parrot TDS ha estado activo desde octubre de 2021, aunque hay pruebas de artefactos que sugieren que puede haber existido ya en agosto de 2019. «Los sitios web con Parrot TDS tienen scripts maliciosos inyectados en el código JavaScript existente alojado en el servidor», señaló la compañía en un análisis la semana pasada. «Este script inyectado consta de dos componentes: un script de inicio que perfila a la víctima y un script de carga útil que puede dirigir el navegador de la víctima a una ubicación o contenido malicioso». Las inyecciones, a su vez, se ven facilitadas por la explotación de vulnerabilidades de seguridad conocidas en sistemas de gestión de contenidos (CMS) como WordPress y Joomla! Los vectores de ataque adoptados por la red de afiliados de VexTrio para recopilar tráfico de víctimas no son diferentes en el sentido de que principalmente seleccionan sitios web que ejecutan una versión vulnerable del software WordPress para insertar JavaScript fraudulento en sus páginas HTML. En un caso identificado por Infobox, se descubrió que un sitio web comprometido con sede en Sudáfrica tenía JavaScript inyectado de ClearFake, SocGholish y VexTrio. Eso no es todo. Además de contribuir con tráfico web a numerosas campañas cibernéticas, también se sospecha que VexTrio lleva a cabo algunas propias, ganando dinero abusando de programas de referencia y recibiendo tráfico web de un afiliado y luego revendiendo ese tráfico a un actor de amenazas. «El modelo de negocio avanzado de VexTrio facilita las asociaciones con otros actores y crea un ecosistema sostenible y resiliente que es extremadamente difícil de destruir», concluyó Infoblox. «Debido al diseño complejo y la naturaleza enredada de la red de afiliados, es difícil lograr una clasificación y atribución precisas. Esta complejidad ha permitido que VexTrio florezca mientras permanece anónimo para la industria de la seguridad durante más de seis años». Burton caracterizó además a VexTrio como el «capítulo de las afiliaciones de delitos cibernéticos», afirmando que «los delitos cibernéticos contra consumidores a nivel mundial prosperan porque estos intermediarios de tráfico pasan desapercibidos. Por el contrario, al bloquear el tráfico de VexTrio en el DNS, se bloquean todos los delitos relacionados, independientemente de lo que sean y si saber sobre esto.» (La historia se actualizó después de la publicación para incluir comentarios adicionales de Infoblox). ¿Encontró interesante este artículo? Síguenos en Twitter y LinkedIn para leer más contenido exclusivo que publicamos.
Source link
