Una vasta rete di truffe, nota come Help TDS, sfrutta oltre 20.000 sottodomini malevoli su Cloudflare Pages per indirizzare le vittime verso falsi centri di supporto tecnico. L'operazione, attiva dal 2017, utilizza tecniche sofisticate per ingannare gli utenti e ottenere accesso remoto ai loro dispositivi.
Una complessa operazione di truffa, identificata come Help TDS, è stata scoperta dai ricercatori di Infoblox, che hanno individuato l'utilizzo di oltre 20.000 sottodomini malevoli sulla piattaforma Cloudflare Pages. Questi domini vengono impiegati per reindirizzare ignari utenti verso falsi centri di supporto tecnico, con l'obiettivo di estorcere denaro o ottenere accesso non autorizzato ai loro computer.
L'operazione Help TDS è gestita da un programma di affiliazione noto come Hotejka, che si ritiene sia una rielaborazione di una precedente entità chiamata ROI777. Le prove che collegano queste entità includono la condivisione di infrastrutture DNS, identificatori di affiliazione persistenti e meccanismi di comando e controllo coerenti. Questa operazione ha dimostrato una notevole longevità, essendo attiva almeno dall'aprile 2017, nonostante sia stata esposta pubblicamente in diverse occasioni.
Gli affiliati di Help TDS utilizzano una varietà di metodi per distribuire i link malevoli. Questi includono siti web compromessi, pubblicità ingannevole (malvertising), spam, social media e persino un bot Telegram che si spaccia per un assistente AI gratuito. Una volta che un utente clicca su un link malevolo, Help TDS analizza le caratteristiche del browser e la posizione geografica per determinare la destinazione più appropriata. Il traffico che non è ritenuto idoneo per le truffe di supporto tecnico viene rivenduto ad altre piattaforme di affiliazione.
Le vittime selezionate si imbattono in messaggi che simulano aggiornamenti di sistema o avvisi di sicurezza, spesso affermando che Microsoft ha bloccato il loro computer. Per aumentare la pressione, vengono impiegate tecniche come la manipolazione a schermo intero, la prevenzione dell'uscita dalla pagina, allarmi sonori e istruzioni preregistrate, creando l'illusione di un blocco del sistema e spingendo l'utente a chiamare un numero di supporto fornito.
Durante un'indagine condotta nel giugno 2026, i ricercatori di Infoblox hanno contattato uno dei numeri di supporto pubblicizzati. L'operatore, fingendosi un tecnico Microsoft, ha istruito i ricercatori a rimuovere il presunto blocco del browser e successivamente a scaricare un'applicazione di accesso remoto legittima, come UltraViewer. Sebbene in questo caso specifico non sia stato dimostrato un compromesso successivo, la concessione dell'accesso tramite tali strumenti creerebbe un'opportunità significativa per gli aggressori di prendere il controllo completo del dispositivo della vittima.
L'operazione combina efficacemente siti web compromessi, fingerprinting del browser, scareware aggressivo e software di desktop remoto legittimo per trasformare normali sessioni di navigazione in potenziali vettori di accesso non autorizzato.
L'infrastruttura utilizzata da Help TDS sfrutta piattaforme legittime come Cloudflare Pages, che offre vantaggi come la facilità di implementazione, la crittografia HTTPS e un'infrastruttura affidabile. Questo non indica una vulnerabilità in Cloudflare stessa, ma piuttosto un abuso delle sue funzionalità da parte di attori malevoli. In precedenza, Fortra aveva documentato l'uso di Cloudflare Pages per reindirizzamenti di phishing e furto di credenziali.
Help TDS annuncia centinaia di nuovi domini ogni giorno tramite canali come Telegram, utilizzando algoritmi di generazione di domini per mimetizzarsi nel vasto numero di sottodomini legittimi creati quotidianamente sulla piattaforma. I ricercatori di Infoblox hanno sviluppato strumenti per identificare questa infrastruttura malevola con un certo anticipo, consentendo una risposta più rapida.
Le scoperte sottolineano l'importanza di misure di sicurezza proattive. Per i difensori, è fondamentale effettuare audit regolari dei plugin WordPress, proteggere gli account amministrativi e monitorare i reindirizzamenti non autorizzati. GoDaddy, in particolare, raccomanda l'adozione dell'autenticazione a più fattori (MFA), audit approfonditi dei plugin e il monitoraggio di attività sospette pianificate sui server, passaggi essenziali per contrastare questo tipo di minacce che si adattano rapidamente alle nuove infrastrutture.
I ricercatori hanno rilevato oltre 16.000 domini utilizzati da Help TDS nel periodo precedente a metà settembre, con un calo dell'esposizione dei clienti da picchi giornalieri del 4% a circa lo 0,5%. È importante notare che queste cifre misurano l'esposizione e non necessariamente le infezioni confermate.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
