Durante seis meses, han abusado de más de 20.000 dominios de Cloudflare Pages para difundir alertas de seguridad falsas de Microsoft. El objetivo es redirigir a los usuarios hacia centros de llamadas fraudulentos mediante el uso del sistema Help TDS, el cual canaliza el tráfico proveniente de redes sociales, anuncios maliciosos y spam hacia estas estafas de soporte técnico.

Han abusado de más de 20.000 dominios de Cloudflare Pages durante seis meses para difundir alertas de seguridad falsas de Microsoft y dirigir a los usuarios hacia centros de llamadas fraudulentos.

La campaña utiliza el Sistema de Distribución de Tráfico de Ayuda, o Help TDS, para redirigir a los visitantes de sitios web comprometidos, anuncios maliciosos, redes sociales y spam hacia estafas de soporte técnico.

Las páginas afirman que Microsoft ha desactivado el ordenador, reproducen alarmas fuertes y muestran un número de soporte. Un bloqueo del navegador hace que el dispositivo parezca inutilizable, empujando a las víctimas a llamar a alguien que se hace pasar por un técnico de Microsoft. El objetivo es el acceso remoto, no simplemente un pago por reparaciones falsas.

Investigadores de Infoblox identificaron la operación vinculada al malware y determinaron que Hotejka, un programa de afiliados en idioma ruso, gestiona Help TDS.

Su informe de investigación del 15 de octubre vincula a Hotejka con ROI777 a través de registros DNS históricos, infraestructura compartida, identificadores de afiliados y acceso a su panel de afiliados. La operación se remonta al menos a abril de 2017.

Abusan de 20.000 dominios de Cloudflare Pages

Help TDS verifica los detalles del navegador y la ubicación antes de elegir a dónde enviar a cada visitante. Los usuarios seleccionados ven un aviso de actualización falso seguido de advertencias con la marca de Microsoft.

Informes anteriores sobre las redirecciones de sitios web de Help TDS describían cómo plantillas PHP maliciosas y plugins de WordPress convierten sitios web legítimos en puntos de entrada para estafas similares.

Infoblox probó el centro de llamadas en junio de 2026. Un operador afirmó representar al Soporte Técnico de Microsoft, preguntó si el ordenador pertenecía a una persona o a una empresa, y ayudó a eliminar el bloqueo del navegador.

Luego instruyó a los investigadores para que descargaran UltraViewer, una herramienta legítima de escritorio remoto que los atacantes pueden utilizar indebidamente para acceder al sistema.

La llamada terminó después de que los investigadores cuestionaran por qué era necesario un software adicional. Esta distinción es importante: UltraViewer no se presenta como una carga útil de malware personalizada.

La estafa se basa en convencer a los usuarios para que instalen ellos mismos el software de acceso remoto, creando un acceso que podría facilitar el robo de datos o ataques posteriores.

Infraestructura desechable de Cloudflare Pages

Desde abril de 2026, el grupo ha alojado su TDS y sus páginas de estafa en sitios desechables de Cloudflare Pages. Anuncia aproximadamente 300 dominios nuevos diariamente a través de Telegram.

La cobertura previa sobre el abuso de dominios de desarrolladores de Cloudflare muestra cómo los criminales también utilizan estos servicios para redirecciones de phishing y páginas de verificación falsas.

Infoblox detectó otros 10.000 dominios de Pages aparentemente vinculados a actividades de phishing o señuelos, más allá de los 20.000 asociados con la operación principal.

Algunas páginas muestran anuncios que parecen inofensivos durante los escaneos directos, lo que ayuda a ocultar su función. Estas cifras describen la infraestructura creada por el atacante, no 20.000 cuentas de clientes de Cloudflare comprometidas.

El código de afiliado recupera los dominios de enrutamiento actuales desde Telegram, utiliza un servidor de respaldo y actualiza los resultados almacenados en caché cada 30 segundos.

Puede limitar la visualización de la estafa a las horas laborales del centro de llamadas. GoDaddy documentó previamente la infraestructura de plugins maliciosos de WordPress que soporta estas redirecciones.

Infoblox identificó unos 20 afiliados, incluyendo Balada Injector, Detour Dog y DollyWay. Investigaciones anteriores sobre las infecciones de malware de DollyWay en WordPress explican cómo los sitios comprometidos alimentan el tráfico hacia las redes de estafas, vinculando las infecciones de sitios web con los visitantes que finalmente encuentran las alertas falsas.

Infoblox afirma que sus modelos de detección identifican dominios relacionados unos siete días antes de su uso. La exposición entre sus clientes de la nube cayó de picos diarios del 4% a menos del 0,5% en septiembre. Estas son cifras de exposición específicas del proveedor, no tasas de infección confirmadas ni medidas de toda la campaña.

Fuentes:
https://cybersecuritynews.com/cloudflare-pages-domains/