Ricercatori hanno infiltrato un'operazione di truffa tech support che impersona Microsoft, rivelando l'uso di un sistema di distribuzione del traffico malevolo (TDS) gestito da un'organizzazione russa e l'abuso di migliaia di link Cloudflare.
Una vasta operazione di truffa che si spaccia per Microsoft è stata analizzata in profondità da ricercatori di sicurezza, i quali sono riusciti a ottenere un accesso privilegiato alla sua infrastruttura. L'indagine, condotta da Infoblox, ha svelato l'utilizzo di un sistema di distribuzione del traffico malevolo (TDS) noto come "Help TDS", attivo dal 2017 e gestito da un'organizzazione di lingua russa.
I sistemi TDS, originariamente concepiti per la gestione del traffico pubblicitario digitale, permettono di filtrare e reindirizzare gli utenti verso destinazioni specifiche in base a vari criteri, come la posizione geografica o il sistema operativo. Tuttavia, nel corso degli anni, questi strumenti sono stati ampiamente abusati da attori malevoli per dirigere gli utenti ignari verso siti dannosi, spesso evitando il rilevamento da parte di software antivirus o sandbox.
Nel caso specifico di "Help TDS", il traffico viene reindirizzato verso operazioni di truffa tech support. Queste truffe si basano sulla diffusione di finti avvisi di sicurezza, che spaventano gli utenti inducendoli a chiamare un numero di telefono indicato. Al di là del numero, non ci sono impiegati Microsoft, bensì operatori malevoli che mirano a convincere le vittime a installare software di accesso remoto sui propri computer. Questo permette agli aggressori di ottenere un controllo persistente sul sistema, andando ben oltre la semplice frode con carte di credito.
L'indagine di Infoblox ha permesso di accedere al pannello di amministrazione di "Help TDS", rivelando che la piattaforma funge da snodo decisionale per oltre una dozzina di "affiliati". Questi affiliati, tuttavia, non sono partner pubblicitari legittimi, bensì gruppi criminali e operazioni di malware note, tra cui spiccano "Balada Injector" e "DollyWay".
La rete che gestisce "Help TDS" è stata identificata come "Hotejka", un network di affiliazione pubblicitaria di lingua russa. Il pannello di controllo di Hotejka presenta caratteristiche tipiche delle reti pubblicitarie, come offerte di referral e dashboard di monitoraggio, ma include anche collegamenti diretti a campagne di truffa tech support a tema Microsoft e a plugin malevoli per WordPress precedentemente documentati da GoDaddy.
Quando un affiliato, come un operatore di DollyWay, sceglie di utilizzare la truffa tech support come destinazione per il traffico dirottato (ad esempio, da siti WordPress compromessi), gli utenti ignari vengono filtrati attraverso "Help TDS". Ogni potenziale vittima viene profilata e reindirizzata verso la truffa tech support o altre piattaforme per ulteriori monetizzazioni.
Una volta avviata la truffa, il computer della vittima viene colpito da una notifica di aggiornamento di Windows che richiede un riavvio. Indipendentemente dalla scelta dell'utente, lo schermo mostra un messaggio di errore di Windows seguito da un avviso fasullo dal "Centro sicurezza Microsoft". Questo avviso blocca l'accesso al dispositivo e, tramite istruzioni vocali, esorta l'utente a non riavviare il sistema e a chiamare un numero di telefono indicato per ricevere assistenza tecnica Microsoft.
I ricercatori di Infoblox hanno persino effettuato una chiamata al numero fornito, venendo messi in contatto con un individuo che si spacciava per un tecnico Microsoft, operante in un ambiente che simulava un call center affollato. La conversazione registrata ha confermato le pratiche ingannevoli degli operatori, i quali assicuravano falsamente alla ricercatrice che non avrebbe perso dati e che il problema era risolvibile.
L'operazione sfrutta migliaia di link legittimi di Cloudflare, rendendo più difficile il blocco e l'identificazione delle attività malevole. Questo abuso di infrastrutture apparentemente legittime evidenzia la sofisticazione crescente delle operazioni di truffa online e la necessità di una vigilanza costante da parte degli utenti e delle piattaforme di sicurezza.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
