Un grupo cibercriminal vinculado a la red de distribución de contenido FUNNULL ha regresado con una infraestructura mucho más sofisticada y evasiva. Conocido como Triad Nexus, el grupo ha reconstruido su operación global de fraudes tras las sanciones del Departamento del Tesoro de EE.UU., desplegando más de 175 dominios CNAME rotativos aleatoriamente para alimentar una extensa red de portales de estafa

Un grupo cibercriminal vinculado a la red de distribución de contenido FUNNULL ha regresado con una infraestructura mucho más sofisticada y evasiva.

Conocido como Triad Nexus, el grupo ha reconstruido su operación global de fraude tras las sanciones del Departamento del Tesoro de EE.UU., desplegando más de 175 dominios CNAME rotativos aleatorios para alimentar una extensa red de portales fraudulentos que atacan a víctimas en múltiples países.

Triad Nexus no es un actor nuevo en el panorama de amenazas. El grupo tiene raíces profundas en redes criminales organizadas en Asia y ha estado ejecutando estafas de inversión, operaciones de lavado de dinero y plataformas de apuestas ilegales desde al menos 2022.

Sus campañas anteriores dependían en gran medida de la CDN de FUNNULL como columna vertebral principal, permitiendo la entrega rápida de sitios web fraudulentos diseñados para parecerse exactamente a marcas globales de confianza.

Lo que cambió tras las sanciones estadounidenses no fue la intención criminal del grupo, sino su método de ocultación.

Tras las sanciones federales de mayo de 2024, el grupo pivotó rápidamente hacia lo que los investigadores describen como "lavado de infraestructura".

En lugar de depender únicamente de servidores de baja reputación, Triad Nexus comenzó a secuestrar cuentas legítimas de nube empresarial en proveedores importantes como Amazon Web Services, Cloudflare, Google y Microsoft.

Al redirigir el tráfico malicioso a través de estas plataformas confiables, el grupo creó una apariencia de legitimidad que hizo que sus portales falsos fueran mucho más difíciles de detectar o bloquear.

Analistas y investigadores de Silent Push identificaron este cambio táctico como una evolución importante, señalando que el grupo había abandonado los dominios CNAME estables en favor de un conjunto rotativo de más de 175 dominios CNAME generados aleatoriamente, cada uno conectando grupos de sitios web fraudulentos a direcciones IP robadas o adquiridas ilícitamente.

La escala del fraude es asombrosa. Se ha vinculado a Triad Nexus con más de mil millones de dólares en pérdidas reportadas por víctimas, con pérdidas individuales que promedian alrededor de 47.000 dólares.

El grupo ejecuta principalmente estafas de "matanza de cerdos", donde las víctimas son manipuladas durante semanas o meses para invertir grandes sumas en plataformas falsas de criptomonedas.

Su catálogo de portales fraudulentos incluye clones pixel-perfectos de marcas de lujo como Tiffany, Cartier y Chanel, plataformas financieras como Western Union y MoneyGram, y portales bancarios falsamente vinculados a Wells Fargo, Goldman Sachs y Bank of America.

Para evitar la atención de las fuerzas del orden tras las sanciones, el grupo también lanzó una serie de empresas fachada "limpias", entidades con branding profesional e historias operativas fabricadas diseñadas para generar confianza entre usuarios desprevenidos.

Un ejemplo particularmente revelador es un proveedor falso de CDN que opera como cdnbl.com, que falsamente afirma haber servido a clientes desde 2007. Los registros de registro de dominio confirman que solo fue creado en marzo de 2024, exponiendo el engaño en su núcleo.

Evasión geográfica y la infraestructura de CNAME rotativos

Un aspecto técnicamente alarmante de la operación reconstruida de Triad Nexus es su uso deliberado de cadenas CNAME multicapa para ocultar el verdadero destino de su tráfico.

Un CNAME, o registro de Nombre Canónico, es una entrada DNS que redirige un dominio a otro. Las herramientas de seguridad estándar suelen seguir solo un paso en esta cadena, lo que significa que el punto final real a menudo pasa completamente desapercibido.

Triad Nexus explota activamente este punto ciego. Su infraestructura redirige el tráfico a través de múltiples dominios CNAME intermedios —a veces tres o cuatro capas de profundidad— antes de llegar a una dirección IP final alojada en una plataforma de nube empresarial de confianza.

Esta redirección multicapa hace extremadamente difícil que las herramientas de detección automatizadas rastreen el tráfico hasta su origen real.

Para evitar aún más la supervisión, el grupo ha implementado un bloqueo deliberado en EE.UU. en muchos de sus portales, mostrando un error que dice "La región ha sido denegada" a los visitantes estadounidenses, mientras expande simultáneamente sus operaciones de estafa a mercados en español, vietnamita e indonesio para mantener el flujo de ganancias fraudulentas.

Se recomienda encarecidamente a las organizaciones que vayan más allá de las medidas de seguridad reactivas. Los equipos de seguridad deberían adoptar capacidades de análisis de cadenas CNAME, monitorear dominios similares recién registrados, aplicar políticas estrictas de resolución DNS y mantener una visibilidad profunda en todas las capas de red para detectar y neutralizar amenazas de este tipo antes de que lleguen a los usuarios finales.