Han aprovechado dominios de gobiernos y escuelas para promocionar sitios de apuestas ilegales. Para lograrlo, crearon subdominios no autorizados mediante la manipulación de los registros del DNS, permitiendo que las páginas principales de las instituciones siguieran funcionando normalmente mientras utilizaban la reputación de estas entidades para atraer visitantes a través de los motores de búsqueda.

Abusado de dominios gubernamentales y escolares para promocionar sitios web de apuestas ilegales, creando subdominios no autorizados mientras dejaban que los sitios web principales de las instituciones funcionaran normalmente.

Dos operaciones no relacionadas utilizaron cambios en los registros del Sistema de Nombres de Dominio (DNS) para colocar páginas de apuestas bajo direcciones institucionales confiables, tomando prestada su reputación para atraer visitantes a través de los resultados de búsqueda.

La actividad afectó a instituciones en Bangladés, India y México. Una operación involucró más de 850 puntos de entrada observados en ocho dominios institucionales y conexiones con más de 30 marcas de apuestas.

Estas cifras describen la infraestructura, no víctimas o infecciones confirmadas, y los investigadores las consideran recuentos mínimos porque su investigación aún continuaba.

Investigadores de Infoblox identificaron las dos operaciones y detallaron sus hallazgos en un informe del 26 de octubre de 2026 sobre el domain shadowing (sombreado de dominios).

La investigación describe el abuso de DNS para apoyar la promoción de apuestas ilegales, en lugar de una familia de malware recién identificada. Sigue siendo desconocido cómo los atacantes obtuvieron inicialmente el acceso a la administración del DNS.

Secuestran subdominios gubernamentales y escolares

El domain shadowing permite a los atacantes añadir registros DNS no autorizados bajo un dominio legítimo sin cambiar su sitio web principal.

A diferencia de la actividad de secuestro de subdominios de Hazy Hawk reportada anteriormente, que involucraba recursos en la nube abandonados, estas operaciones parecen implicar un acceso no autorizado a la administración del DNS. Esa distinción es importante cuando investigas cómo se obtuvo el control.

Infoblox identifica al primer actor como Hidden Hawk, que parece vender visibilidad en las búsquedas a marcas de apuestas ilegales indonesias.

El actor añadió registros CNAME, que convierten un nombre de host en un alias de otro, bajo dominios escolares y gubernamentales. La mayoría apuntaba a contenido de apuestas alojado externamente en Cloudflare Pages en lugar de en servidores institucionales.

Los nombres de alojamiento externo a menudo copiaban el nombre de host institucional correspondiente, reemplazando los puntos por guiones. Este patrón ayudó a los investigadores a reconstruir las relaciones entre las direcciones secuestradas y las páginas alojadas.

En un ejemplo documentado, el contenido de apuestas permaneció accesible bajo el dominio de una escuela secundaria de Bangladés entre el 6 de julio y el 1 de octubre de 2026.

El uso de servicios de alojamiento legítimos también aparece en campañas de estafa separadas de Cloudflare Pages que explotan infraestructura fácilmente disponible. Aquí, la característica importante era la conexión entre las páginas de apuestas alojadas externamente y las direcciones institucionales confiables.

Las comprobaciones del sitio web por sí solas podrían pasar por alto la actividad porque los servicios principales de las escuelas y oficinas gubernamentales seguían disponibles. Seis dominios escolares de Bangladés tenían aproximadamente entre 50 y más de 240 entradas cada uno, mientras que un dominio educativo mexicano tenía más de 50.

Un subdominio del gobierno de Kerala alojaba contenido de apuestas directamente y recibía algunas conexiones CNAME escolares. Los investigadores observaron que el caso de Kerala fue remediado en julio de 2026, aunque parte de otra infraestructura permaneció activa.

Durante una investigación controlada, Infoblox contactó a una cuenta de Telegram que se cree pertenece a Hidden Hawk utilizando una identidad de casino fabricada.

El operador ofreció optimización de enlaces (backlinks), páginas de aterrizaje personalizadas y páginas de Google AMP, proporcionó detalles de pago y garantizó un ranking superior en Google. Los investigadores no realizaron ningún pago; la oferta de ventas coincidía con la infraestructura que observaron.

Las delegaciones de DNS gubernamentales expandieron el control del atacante

La segunda operación tuvo como objetivo la infraestructura del gobierno de Maharashtra y un subdominio de ESIC en India. En lugar de añadir alias individuales, los atacantes crearon delegaciones de servidores de nombres no autorizadas hacia ClouDNS.

Esto transfirió la autoridad sobre subzonas de DNS seleccionadas a servidores de nombres externos, permitiendo que los registros bajo ellas fueran gestionados fuera del entorno DNS normal del gobierno. Infoblox no ha atribuido esta actividad a Hidden Hawk.

Un registro comodín (wildcard) expandió ese control al permitir que se resolvieran nombres arbitrarios bajo una subzona delegada.

Los registros relacionados con las apuestas aparecieron al menos desde agosto de 2025. La entrega de contenido involucró a DigitalOcean, Amazon CloudFront y BunnyCDN, con páginas de entrada generadas por máquina que cubrían rummy, apuestas, loterías y satta matka.

Las delegaciones desaparecieron a mediados de octubre de 2026, lo que sugiere una remediación. Los hallazgos aumentan las preocupaciones sobre la infraestructura de apuestas, aunque existen sitios de casino independientes que ocultan espionaje, lo que demuestra un uso diferente de contenido similar.

En esta investigación, el propósito documentado fue la visibilidad en las búsquedas y la adquisición de tráfico. La evidencia no establece que los visitantes recibieran malware, ni que cualquiera de las operaciones robara datos institucionales.

Para quienes defienden la red, la prioridad es monitorear los cambios en el DNS autoritativo, no simplemente comprobar si una página de inicio parece normal.

Los objetivos CNAME inesperados, las nuevas delegaciones de servidores de nombres, los registros comodín inexplicables y las ráfagas de subdominios desconocidos requieren investigación. Las observaciones de transparencia de certificados también deben compararse con los servicios aprobados y los registros de cambios de DNS.

Las organizaciones que descubran cambios no autorizados deben eliminar los registros ofensivos, revisar los registros del registrador y del proveedor de DNS, rotar las credenciales expuestas y aplicar la autenticación multifactor.

Infoblox advierte contra el bloqueo de dominios institucionales legítimos completos. La respuesta debe centrarse en los nombres de host no autorizados y la infraestructura controlada por el atacante, abordando al mismo tiempo el acceso a la cuenta o la delegación que permitió el abuso. Asimismo, las plataformas de alojamiento compartido requieren una investigación contextual en lugar de un bloqueo general.