42,000 dominios impostores utilizados por piratas informáticos chinos en una gran campaña de phishing

Un grupo de piratería chino conocido como «Fangxiao» está utilizando miles de dominios impostores para atacar a las víctimas en una campaña de phishing a gran escala.

Miles amenazados por la campaña de phishing de Fangxiao

Una campaña masiva de phishing del grupo de hackers chino «Fangxiao» pone en riesgo a miles de personas. Esta campaña utilizó 42.000 dominios impostores para facilitar los ataques de phishing. Estos dominios impostores están diseñados para redirigir a los usuarios a aplicaciones de adware (malware adware), obsequios y sitios de citas.

Cyjax, una empresa de soluciones de ciberseguridad y amenazas, descubrió los 42 000 dominios falsos utilizados en esta campaña. En una publicación de blog de Cyjax de Emily Dennison y Alana Witten, la estafa se describió como sofisticada, con la capacidad de «explotar la reputación de marcas internacionales confiables en múltiples verticales, incluidos el comercio minorista, la banca, los viajes, los productos farmacéuticos, los viajes y la energía».

La estafa comienza con un mensaje malicioso de WhatsApp, en el que se suplanta una marca de confianza. Emirates, Coca-Cola, McDonald’s y Unilever son ejemplos de tales marcas. Este mensaje proporciona al destinatario un enlace a una página web que da sentido a la atracción. El sitio de redirección depende de la dirección IP del objetivo, así como de su agente de usuario.

Por ejemplo, McDonald’s puede afirmar que da un obsequio. Cuando la víctima completa el registro para el sorteo, se puede activar la descarga del malware troyano Triada. El malware también se puede instalar al descargar una aplicación específica, que se solicita a las víctimas que instalen para continuar participando en el sorteo.

Atacantes protegidos por CloudFlare

Cyjax señaló en su publicación de blog con respecto a esta campaña que la infraestructura de Fangxiao está protegida principalmente por CloudFlare, una red estadounidense de entrega de contenido (CDN). También se ha observado que se han creado dominios impostores en GoDaddy, Namecheap y Wix, y sus nombres se alternan con frecuencia.

La mayoría de estos dominios de phishing se registraron con .top, y el resto se registró principalmente con .cn, .cyou, .xyz, .tech y .work.

Fangxiao Group no es nada nuevo

El grupo de hackers Fangxiao existe desde hace bastante tiempo. Cyjax notó por primera vez los dominios utilizados en esta campaña en 2019 y ha ido creciendo en número desde entonces. En octubre de 2022, Fangxiao agregó más de 300 dominios únicos en un solo día.

No se ha confirmado al 100 % que el grupo tenga su sede en China, pero Cyjax ha determinado esta ubicación con un alto nivel de confianza. Un indicador de esto es el uso de mandarín en uno de los paneles de control expuestos del grupo. Cyjax también especuló que el objetivo de la campaña probablemente sería una ganancia monetaria.

Las campañas de phishing van en aumento

El phishing es una de las tácticas de ciberdelincuencia más populares en la actualidad y puede adoptar diversas formas. Puede ser difícil detectar ataques de phishing, especialmente los muy sofisticados. Los filtros de spam y los programas antivirus se pueden usar para mitigar los ataques de phishing, aunque siempre es importante confiar en sus instintos y evitar cualquier comunicación que no parezca del todo correcta.