Se ha detectado que sitios web de casinos con apariencia común están siendo utilizados para ocultar infraestructura de ciberespionaje. Estas páginas imitan portales de juego de baja calidad para evitar el escrutinio de seguridad, conectando discretamente a los visitantes y sistemas comprometidos con servidores controlados por atacantes. Esta actividad se centra en PeckBirdy, un sistema de comando y control basado en JavaScript.

Sitios web de casinos con apariencia ordinaria están siendo utilizados para ocultar infraestructura de ciberespionaje. Los sitios imitan portales de juego de baja calidad, pero algunos conectan silenciosamente a los visitantes y a los sistemas comprometidos con servidores controlados por los atacantes.

Las páginas están diseñadas para parecer desechables e inofensivas, lo que puede reducir la probabilidad de que reciban un escrutinio de seguridad. La actividad se centra en peckBirdy, un marco de comando y control basado en JavaScript utilizado por grupos de amenazas persistentes avanzadas alineadas con China desde 2023.

Las campañas han tenido como objetivo organizaciones corporativas y gubernamentales en toda Asia, observándose sectores como educación, TI, banca, servicios financieros y gobierno. Los analistas de Infoblox identificaron la expansión más reciente mientras rastreaban un vasto ecosistema de dominios de casinos ilegales.

Infoblox señaló en un informe que el mismo disfraz se extiende ahora a sitios para adultos en idioma chino, ampliando los lugares donde los operadores pueden esconderse.

También subraya cómo los ecosistemas web criminales pueden proporcionar una historia de cobertura a los operadores de espionaje, y que el peligro no reside únicamente en una página de casino.

Los atacantes utilizan páginas que parecen irrelevantes para alojar o incrustar código, establecer conexiones web en segundo plano y mezclar su tráfico en un rincón saturado y frecuentemente ignorado de internet. Este enfoque puede hacer que los defensores se centren en el señuelo mientras el canal de espionaje real permanece invisible.

Están ocultando infraestructura de espionaje

Los investigadores separan esta actividad de dos modelos más amplios de abuso de casinos: las operaciones de juego ilegal y lavado de dinero, y los sitios de juego fraudulentos que impiden que las víctimas retiren sus fondos.

Los sitios de PeckBirdy son diferentes porque el casino es solo una decoración, no un servicio destinado a atraer o retener jugadores reales. Una página observada registró un service worker de JavaScript y cargó un script sospechoso similar al código anterior de PeckBirdy.

Los service workers pueden ejecutarse en segundo plano, lo que los hace útiles para mantener el contacto después de visitar una página. Abusos similares han aparecido en campañas de robo de credenciales mediante service workers, donde el código del navegador en segundo plano puede interceptar o persistir más allá de la navegación normal.

El informe destacó un señuelo con temática de casino que incrustaba un servidor de comandos detrás de una marca familiar. Los investigadores descubrieron entonces que las conexiones WebSocket activas llegaban a otro dominio, mientras que sitios para adultos relacionados utilizaban el mismo patrón.

Este diseño por capas hace que las comprobaciones rápidas de reputación sean menos fiables, especialmente cuando los escáneres automatizados no capturan completamente el comportamiento del lado del navegador.

PeckBirdy también puede dirigir a las víctimas a falsos avisos de actualización del navegador que instalan puertas traseras, una ruta de ingeniería social familiar que merece una revisión más detallada junto con los informes de malware de falsas actualizaciones de navegador.

El marco ha sido vinculado a herramientas secundarias que pueden ejecutar comandos, robar credenciales y proporcionar acceso remoto, elevando el impacto potencial de una sola visita web a una intrusión de red más amplia.

Las brechas de detección exigen contexto

Los investigadores descubrieron que poco más del 3% de sus clientes empresariales resolvieron al menos un dominio C2 de PeckBirdy. Una sola búsqueda no siempre es prueba de compromiso, ya que un dominio histórico se asemeja a un posible error tipográfico.

Pero la resolución repetida de entre tres y diez dominios C2 distintos es una señal de advertencia significativa que justifica una investigación, en lugar de una sola alerta vista de forma aislada.

La cobertura de detección varió drásticamente. Un dominio conocido de PeckBirdy tenía 13 detecciones en VirusTotal, otro tenía tres, y el dominio relacionado con WebSocket no tenía ninguna en el momento de la publicación.

Esa brecha muestra por qué los defensores no deben tratar un resultado de reputación limpio como una autorización, especialmente cuando investigan infraestructura de actores de amenazas chinos diseñada para mezclarse con servicios web comunes.

Los equipos de seguridad deben revisar la telemetría de DNS, proxy y navegador para los indicadores a continuación, y luego correlacionar las conexiones con eventos de endpoints y registros inusuales de service workers.

Deberías priorizar los hosts que contacten con varios dominios distintos, preservar los registros relevantes y examinar si los usuarios fueron dirigidos a actualizaciones falsas o a páginas de adultos y juegos desconocidas.

Bloquear un dominio a la vez es poco probable que solucione el problema porque los operadores rotan los dominios y la infraestructura rápidamente.

En su lugar, las organizaciones deberían combinar el monitoreo de dominios con el filtrado web, actualizaciones oportunas del navegador y del endpoint, controles de privilegios mínimos y comprobaciones de respuesta a incidentes que busquen actividad relacionada en toda la red.

Ese enfoque por capas también ayuda a descubrir métodos de comunicación C2 encubiertos que no se parecen al tráfico de malware convencional.