Investigadores de seguridad han descubierto una sofisticada campaña de phishing que utiliza decenas de miles de dominios maliciosos para propagar malware y generar ingresos por publicidad.
Apodado «Fangxiao», el grupo dirige a los usuarios desprevenidos a los dominios a través de mensajes de WhatsApp diciéndoles que han ganado un premio, según el proveedor de seguridad Cyjax.
Al parecer, las páginas de aterrizaje de los sitios de phishing suplantan a cientos de marcas conocidas, como Emirates, Unilever, Coca-Cola, McDonald’s y Knorr.
Las víctimas son redirigidas a sitios de publicidad, con los que Fangxiao genera dinero, de camino a una falsa encuesta en la que se afirma que pueden ganar un premio. En algunos casos se activa la descarga de malware durante este proceso.
Un clic en el botón ‘Completar registro’ con un agente de usuario de Android a veces da lugar a la descarga del malware Triada. Como las víctimas están involucradas en la estafa, deseosas de obtener su «recompensa», y el sitio les dice que descarguen la aplicación, es probable que esto haya dado lugar a un número significativo de infecciones.
Parece que se trata de un ejercicio complejo y en constante evolución para ganar dinero. Sus operadores han utilizado otros señuelos en el pasado, incluyendo temas de COVID-19, según Cyjax.
Los 42.000 dominios registrados por el grupo se remontan a 2019 y «siguen escalando». La infraestructura está protegida detrás de Cloudflare y los nombres de dominio se cambian «regular y rápidamente.» En un solo día de octubre, el grupo utilizó más de 300 nuevos dominios únicos.
Cyjax atribuyó el origen de la campaña de estafa a China después de desanonimizar algunos de los dominios y eludir las restricciones de Cloudflare.