Bulut altyapısında açılan 20 binden fazla Cloudflare Pages alan adı, sahte teknik destek dolandırıcılıklarını barındırmak için kullanıldı. İncelemeler, bu trafiğin Help TDS adlı bir trafik dağıtım sistemi üzerinden yönlendirildiğini ve yapının en az 2017’den beri aktif olduğunu gösteriyor.
Help TDS’nin Hotejka ile bağlantılı olduğu değerlendiriliyor. Sistem, ele geçirilmiş web sitelerine yerleştirilen PHP kod şablonları üzerinden çalışıyor ve şüphelenmeyen ziyaretçileri dolandırıcılık sayfalarına yönlendirmeyi amaçlıyor. Bu yöntem, ziyaretçinin bağlantıyı tıklamasından çok önce arka planda yapılan yönlendirme zincirine dayanıyor.
PHP şablonlarıyla ele geçirilen sitelere sızıyor
Araştırmacılar, Help TDS’nin ortaklarına ve iştirakçilere PHP tabanlı şablonlar sunduğunu belirtiyor. Bu şablonlar, saldırganların kontrolündeki yönlendirme altyapısının başka sitelere gömülmesini sağlıyor. Ardından kullanıcılar, meşru görünen ancak teknik destek dolandırıcılığına hizmet eden sayfalara taşınıyor.
Bulunan alan adlarının önemli bölümü Cloudflare Pages üzerinde barındırılmış durumda. Saldırganlar, meşru bulut barındırma hizmetlerini kötüye kullanarak hem altyapıyı saklamaya hem de tespiti zorlaştırmaya çalışıyor. Yapının uzun süredir faal olması, kampanyanın tek seferlik değil süreklilik kazanan bir dağıtım modeliyle işletildiğine işaret ediyor.
2017’den beri süren trafik dağıtım ağı
Help TDS’nin en az 2017’den bu yana faaliyette olduğu değerlendiriliyor. Sistem, teknik destek dolandırıcılığı sayfalarına trafik aktarmak için tasarlanmış bir yönlendirme katmanı gibi çalışıyor; bu katman içinde kullanılan PHP kodları ise farklı ortaklar tarafından özelleştirilebiliyor.
İncelemeye göre kampanyanın odağı doğrudan zararlı yazılım dağıtımı değil, kullanıcıyı kandırarak dolandırıcılık akışına sokmak. Saldırganlar bu sayede tek bir kötü amaçlı alan adına bağlı kalmıyor, çok sayıda barındırma noktasını aynı anda kullanabiliyor. Operasyon kesintiye uğrasa bile trafik başka alan adlarına kaydırılabiliyor.