Una investigación reciente sobre una red engañosa de notificaciones push demuestra cómo un simple error en DNS puede abrir una ventana a la infraestructura criminal. La campaña abusó de las notificaciones del navegador para inundar a los usuarios de Android con alertas de seguridad falsas, señuelos de apuestas y ofertas para adultos. Dominios de apariencia aleatoria y alojamiento oculto intentaron esconder al operador mientras mantenían el flujo de clics

Una investigación reciente sobre una red engañosa de notificaciones push revela cómo un simple error en el DNS puede abrir una ventana a la infraestructura criminal.

La campaña abusó de las notificaciones del navegador para inundar a usuarios de Android con alertas de seguridad falsas, señuelos de apuestas y ofertas para adultos. Dominios con nombres aleatorios y alojamiento oculto intentaron esconder al operador mientras mantenían el flujo de clics y dinero por publicidad.

Los problemas surgieron cuando un dominio dejó de resolverse, aunque las notificaciones seguían llegando. En lugar de páginas de destino activas, las víctimas veían errores en el navegador.

Lo que parecía una caída rutinaria era, en realidad, una configuración incorrecta del servidor de nombres, dejando el dominio en un estado de delegación fallida que ya no apuntaba a un backend válido.

Investigadores de Infoblox identificaron esta debilidad y se dieron cuenta de que el actor de la amenaza había perdido el control del DNS mientras dispositivos en todo el mundo seguían contactando con el servidor.

Al reclamar legítimamente el mismo dominio en el proveedor de DNS, el equipo redirigió el tráfico a una infraestructura que gestionaban, sin tocar los dispositivos de las víctimas ni los servidores del atacante.

A partir de ese momento, cada mensaje push y solicitud de seguimiento enviada por la red del hacker también llegaba al servidor de los investigadores, creando una vista en tiempo real de la operación.

En los días siguientes, miles de navegadores infectados se conectaron desde todo el mundo. Cada solicitud llevaba registros JSON detallados sobre el dispositivo, el idioma, el texto del señuelo y el comportamiento de los clics.

En total, el equipo capturó decenas de millones de registros, revelando un uso agresivo de la suplantación de marcas y tácticas de miedo para generar clics.

Los registros mostraban que un usuario típico podía recibir más de cien notificaciones al día, a menudo durante meses.

Mecanismo de infección: De un clic al control continuo

El camino de la infección comenzaba con la visita a un sitio comprometido o sospechoso. A los usuarios se les mostraba un pop-up del navegador pidiéndoles que permitieran notificaciones, mezclado con banners de cookies y captchas falsos.

Una vez concedido el permiso, el sitio instalaba un service worker personalizado en el navegador, actuando como un agente en segundo plano que mantenía activa la suscripción.

Ese service worker se comunicaba regularmente con el servidor push del atacante, descargaba scripts actualizados y obtenía plantillas de estafas o anuncios. Si el usuario cerraba la pestaña, el worker seguía activo y continuaba generando notificaciones.

De esta manera, los atacantes lograban un acceso persistente sin necesidad de archivos maliciosos clásicos, confiando en su lugar en estándares web y una higiene deficiente del DNS.

Cuando la delegación fallida del servidor de nombres expuso su dominio abandonado, los defensores usaron la misma infraestructura para observar en lugar de difundir las campañas.