 |
| imagem divulgação |
Uma operação criminosa ativa há anos utiliza hospedagem gratuita na web para direcionar usuários a centrais de falso suporte técnico. Segundo a Infoblox Threat Intel, o esquema, chamado Help TDS, está associado ao programa de afiliados malicioso Hotejka e já contou com mais de 16 mil domínios identificados antes mesmo de serem usados em ataques.
O Help TDS é um sistema de distribuição de tráfego (TDS, na sigla em inglês): ele recebe visitantes de sites comprometidos, anúncios maliciosos, redes sociais e mensagens de spam e os redireciona conforme critérios como localização geográfica e tipo de dispositivo. O destino final são centrais de atendimento fraudulentas, nas quais golpistas induzem as vítimas a instalar ferramentas de acesso remoto e assumem o controle dos computadores.
A Infoblox atribui o Help TDS ao Hotejka, um programa de afiliados que opera em língua russa e seria uma reformulação do ROI777. A operação estaria ativa desde pelo menos abril de 2017, adaptando sua infraestrutura para continuar funcionando mesmo após exposições públicas.
Em junho de 2026, os pesquisadores acompanharam a cadeia de redirecionamentos até uma dessas centrais. Um falso atendente orientou a remoção de um bloqueio no navegador e indicou o download do UltraViewer, aplicativo gratuito de acesso remoto que daria aos criminosos controle total sobre o dispositivo.
“É comum associar golpes de falso suporte técnico à venda de serviços antivírus desnecessários e a fraudes pontuais com cartões de crédito. No entanto, os golpes atuais envolvem ataques complexos de engenharia social, que permitem aos criminosos obter acesso irrestrito aos dispositivos e continuar explorando as vítimas muito depois do primeiro contato telefônico”, afirmou Renée Burton, vice-presidente do Infoblox Threat Intel.
Desde abril de 2026, o Hotejka passou a usar o Cloudflare Pages, serviço de hospedagem de sites, para criar centenas de páginas por dia. Em seis meses, a Infoblox identificou mais de 20 mil domínios ligados à operação, além de cerca de 10 mil páginas possivelmente usadas em phishing ou como iscas para atrair vítimas.
A estratégia dificulta o bloqueio tradicional, porque os criminosos podem trocar rapidamente de domínios e páginas. A Infoblox afirma, porém, que consegue identificar domínios associados ao esquema cerca de sete dias antes de eles serem usados nas campanhas.
Entre clientes da empresa que usam soluções em nuvem, a exposição a esses domínios — que chegou a 4% em um único dia — caiu para menos de 0,5% em setembro, após a adoção de detecção preditiva baseada em DNS.
Como se proteger:
- Desconfie de pop-ups, anúncios ou mensagens que aleguem problemas graves no computador e solicitem contato imediato com um “suporte técnico”.
- Não instale programas de acesso remoto indicados por desconhecidos por telefone, e-mail ou chat.
- Evite ligar para números exibidos em alertas de navegador ou em sites de terceiros; procure os canais oficiais da fabricante do dispositivo ou do serviço.
- Mantenha sistema operacional, navegador e antivírus atualizados, além de ativar a autenticação em duas etapas nas contas principais.
- Empresas podem adotar proteção de DNS para identificar e bloquear domínios maliciosos antes que funcionários acessem páginas fraudulentas.
Comentários
Postar um comentário