🛡 MALWARE 🛡

Investigadores infiltran operación de estafa de soporte técnico de Microsoft.

⏰20 de octubre de 2026🛡CyberObservatorio

Idioma

◢ MALWARE ◣

Investigadores infiltran operación de estafa de soporte técnico de Microsoft.

⟫ 19/10/2026 ⟫ Rob Wright

Fuente: Dark Reading

Los fraudes de soporte técnico parecen estar a la orden del día en la actualidad, pero investigadores han tenido la oportunidad de adentrarse en una operación que ha estado en funcionamiento durante varios años, para observar cómo los ciberdelincuentes utilizan herramientas e infraestructuras legítimas para hacerse pasar por personal de IT de Microsoft.

En un informe reciente, Infoblox detalló Help TDS (Traffic Distribution System), una herramienta maliciosa que ha sido utilizada por ciberdelincuentes desde 2017 con el objetivo de redirigir el tráfico web hacia destinos predeterminados. Originalmente, los TDS fueron diseñados como herramientas de gestión de tráfico para socios publicitarios digitales, conocidos como afiliados, que filtraban el tráfico web y redirigían a usuarios específicos hacia anuncios basándose en diferentes criterios, como la región, el sistema operativo y el tipo de dispositivo, entre otros.

Sin embargo, en la última década, una amplia variedad de actores de amenazas ha abusado de las plataformas comerciales de TDS, llegando incluso a desarrollar sus propias versiones clandestinas que son comercializadas en la Dark Web. Estas herramientas son empleadas por ciberdelincuentes en campañas de malvertising, ataques de ransomware y otras amenazas, con el fin de redirigir a usuarios web desprevenidos hacia destinos maliciosos, al tiempo que filtran sistemas que cuentan con protección antimalware y entornos de sandbox.

En el caso específico de Help TDS, las víctimas son dirigidas hacia una operación de fraude de soporte técnico que, al igual que muchas otras, despliega alertas de seguridad falsas con el objetivo de asustar a los usuarios y hacer que llamen a un número de soporte. Sin embargo, en estos centros de llamadas no hay empleados de Microsoft, sino actores de amenazas cuyo objetivo es convencer a las víctimas para que instalen herramientas de acceso remoto en sus sistemas.

Los investigadores de Infoblox afirmaron: "No se trata de un simple fraude con tarjetas de crédito: es una operación de malware que utiliza acceso remoto y vive de los recursos del sistema". Una vez que el ciberdelincuente tiene acceso, puede explotar a la víctima repetidamente.

Durante su investigación sobre Help TDS, los expertos de Infoblox lograron obtener acceso directo al panel de afiliados de la plataforma, lo que no solo les brindó pistas sobre su origen, sino que también ilustró cómo operan estos fraudes de soporte técnico centrados en Microsoft. Según Infoblox, Help TDS actúa como la infraestructura de toma de decisiones de enrutamiento para más de una docena de afiliados, aunque en este caso, los afiliados son operaciones fraudulentas y grupos de ciberdelincuentes en lugar de socios publicitarios legítimos. Entre estos afiliados se encuentran amenazas bien conocidas, como las operaciones de malware Balada Injector y DollyWay.

Infoblox investigó Help TDS durante el último año y determinó que la plataforma es operada por Hotejka, una red de afiliados publicitarios de habla rusa. Aunque Infoblox no reveló cómo logró acceder al panel de afiliados para evitar que Help TDS eliminara ese acceso, sí proporcionó a Dark Reading capturas de pantalla y pruebas adicionales que no se incluían en el informe publicado. Las capturas del panel de afiliados de Hotejka muestran muchas características familiares de los paneles de otras redes publicitarias, tales como smartlinks, ofertas de referencia, demostraciones de campañas y tableros de seguimiento.

El panel de afiliados de Hotejka incluye enlaces directos a campañas de fraude de soporte técnico. Pero los investigadores también descubrieron que el panel contenía enlaces directos a la estafa de soporte técnico centrada en Microsoft y a un complemento malicioso de WordPress documentado anteriormente por investigadores de GoDaddy. En resumen, cualquier "afiliado" de Hotejka podría seleccionar la estafa de soporte técnico como una campaña para ejecutar, o elegir "smartlinks" convencionales como haría un socio publicitario típico.

Cuando un ciberdelincuente, como un operador de DollyWay, selecciona la estafa de soporte técnico como destino para su tráfico de WordPress secuestrado, por ejemplo, los usuarios desprevenidos son filtrados a través de Help TDS. Cada víctima potencial es identificada mediante huellas digitales y redirigida bien a la estafa de soporte técnico o a otra plataforma de afiliados para su ulterior monetización.

Una vez que se inicia la estafa de soporte técnico, la computadora de un usuario recibe una notificación de Windows informando que se requiere una actualización, lo que provocará el reinicio del sistema. Independientemente de si el usuario decide reiniciar inmediatamente o más tarde, la pantalla parpadea y muestra otro mensaje de error de Windows, seguido de una falsa advertencia del Centro de Seguridad de Windows que indica que el acceso del usuario al dispositivo ha sido bloqueado, con instrucciones de voz que instan a los usuarios a no reiniciar sus sistemas y a llamar a un número de teléfono listado para contactar al personal de soporte técnico de Microsoft.

La investigación de Infoblox fue más allá de la identificación de los aspectos técnicos de la operación Help TDS. Renée Burton, vicepresidenta de inteligencia de amenazas en Infoblox, llamó a uno de los números de teléfono listados en la alerta de seguridad de Windows y fue dirigida a un individuo que afirmaba ser un empleado de soporte técnico de Microsoft, trabajando en lo que parecía ser un bullicioso centro de llamadas.

Infoblox grabó y publicó la conversación, durante la cual el ciberdelincuente aseguró repetidamente a Burton que no se le cobraría por el soporte. Tras hacerle varias preguntas, el falso empleado de soporte la dirigió a utilizar la combinación de teclas ctrl-alt-supr para cerrar sesión en el sistema Windows y luego volver a iniciar sesión. Posteriormente, le aconsejó abrir la ventana de inicio y dirigirse a ultraviewer[.]net, la página de inicio de una aplicación gratuita de acceso remoto para PCs.

Burton fue puesta en espera varias veces durante la llamada de 13 minutos, lo que los investigadores creen que se hizo para que los ciberdelincuentes realizaran un cribado y perfilado adicionales. La llamada finalizó abruptamente después de que ella cuestionara la necesidad de descargar la herramienta de acceso remoto; Burton indicó que no está claro si hubo una desconexión accidental o si el falso empleado de soporte sospechó y terminó la llamada.

"Son bastante buenos controlando los centros de llamadas", comenta, añadiendo que Infoblox aún no ha restablecido el contacto con la operación fraudulenta. "Tienes que llamar en ciertos horarios, y ellos verifican las IPs y dispositivos".

Burton señala que la operación Help TDS tiene tres características que la distinguen de otras estafas de soporte técnico. En primer lugar, el componente de bloqueo del navegador es muy efectivo y desactiva completamente el acceso al teclado, mientras que las instrucciones de voz aportan "un gran componente de ingeniería social".

En segundo lugar, el canal de Telegram Help TDS se utiliza para realizar cambios en los dominios de comando y control (C2), con un ritmo acelerado que ve alteraciones en los conjuntos de dominios C2 cada cinco minutos durante los últimos seis meses, según el informe. "Creo que es muy efectivo para mantener sus sistemas operativos", comenta Burton, destacando que esta estrategia dificulta considerablemente el seguimiento y bloqueo de actividades maliciosas.

Por último, Burton enfatiza que el modelo de afiliados de Help TDS es singular, lo que proporciona a la estafa de soporte técnico una escala considerable. "Estos actores tienen afiliados que abarcan todos los grandes nombres en la industria del malware para sitios web", señala.

Un componente esencial de la operación de estafa Help TDS es el abuso de sitios "gratuitos y desechables" de Cloudflare Pages para su infraestructura desde abril, de acuerdo con Infoblox. La magnitud de esta actividad ha sido notable. "El actor de la amenaza crea cientos de nuevas páginas cada día. Detectamos más de 20,000 dominios de este tipo en un periodo de seis meses", afirma el informe. "Además, se generaron otras 10,000 páginas que parecen ser parte de operaciones adicionales de phishing o señuelo".

Los investigadores de Infoblox han observado que Hotejka utiliza varios algoritmos de generación de dominios para crear aproximadamente 300 nuevos sitios de Cloudflare Pages diariamente. Infoblox también destacó que, cuando Help TDS migró a Cloudflare Pages a principios de este año, la empresa detectó que hasta un 4% de sus clientes en la nube estaban expuestos a Help TDS en un solo día. "Aunque estas cifras pueden no parecer elevadas, evidencian que Help TDS, a menudo a través de afiliados que comprometen sitios web, así como a través de publicidad maliciosa, redes sociales y distribución de spam, puede alcanzar una amplia variedad de organizaciones", se indica en el informe.

A pesar de que los investigadores de Infoblox han logrado descompilar los algoritmos y ahora pueden detectar los nuevos sitios de Cloudflare Pages de Hotejka aproximadamente siete días antes de que sean utilizados por Help TDS, todavía existen desafíos significativos para el seguimiento y la documentación del abuso. "Los cambios en los C2 son tan rápidos, y hay un nuevo C2 cada cinco minutos. Y parece que se están utilizando muchas cuentas de Cloudflare", comenta Burton, añadiendo que la "variedad sorprendente" de cuentas de Cloudflare abusadas no es típica de campañas similares, que generalmente utilizan una o dos cuentas.

Otro aspecto desafiante es que Help TDS sigue operando en el mismo servidor Keitaro que se desplegó inicialmente hace casi una década, según Infoblox. Keitaro es una empresa comercial de servicios de TDS cuya plataforma ha sido frecuentemente explotada por actores maliciosos, lo que plantea interrogantes sobre su seguridad y las medidas de prevención de abuso.

Si bien Keitaro y su empresa matriz, Apliteni, cooperaron a principios de este año con los investigadores de Infoblox para interrumpir el abuso de su plataforma, no está claro si el servidor de Keitaro utiliza una versión soportada del software TDS o si se trata de una versión pirata o más antigua sin control de licencia. Burton sospecha que es lo segundo, pero dado que el servidor está detrás de los servicios de Cloudflare, los investigadores no pueden confirmarlo ni determinar la naturaleza completa de la infraestructura.

Burton menciona que Infoblox ha reportado algunos de los dominios recientes a Cloudflare y ha proporcionado muestras técnicas de la operación, y que la empresa está revisando estos casos.

◢ MALWARE ◣

Researchers Infiltrate Microsoft Tech Support Scam Operation

⟫ 19/10/2026 ⟫ Rob Wright

Source: Dark Reading

Tech support scams seem like a dime a dozen these days, but researchers got an inside look at one long-running operation to see how cybercriminals are using legitimate tools and infrastructure to masquerade as Microsoft IT personnel. In a recent report, Infoblox detailedHelp TDS[traffic distribution system], a malicious tool used by cybercriminals since 2017 to redirect Web traffic to their desired destinations. TDSes were originally designed as traffic management tools for digital advertising partners, known as affiliates, to filter Web traffic and redirect specific users to ads based on different criteria, such as region, operating system, device, and others. But over the past decade-plus, a wide variety of threat actors haveabused commercial TDS platforms,and even developed their own underground versions marketed on the Dark Web. The tools are used by cybercriminals inmalvertising campaigns, ransomware attacks, and other threats to re-route unsuspecting Web users to malicious destinations while also filtering out systems with antimalware protection and sandboxes, for example. In the case of Help TDS, victims are redirected to a tech support scam operation that, like many others, deploys fake security alerts to scare users into calling a support number. But threat actors operate the call center, not Microsoft employees, and their goal is to convince victims to install remote desktop tools on their systems. "It's not simple credit card fraud: it's remote access, living-off-the-land malware operations," Infoblox researchers wrote. "Once in, the threat actor can exploit the victim time and again." While investigating Help TDS, Infoblox researchers obtained direct access to the platform's affiliate panel, which not only provided clues to its origin but also illustrated how these Microsoft-focused tech support scams operate. According to Infoblox, Help TDS acts as the routing decision infrastructure for more than a dozen affiliates — except the affiliates are scam operations and cybercriminal groups rather than legitimate advertising partners. In the case of Help TDS, some of these affiliates are well-known threats, such as theBalada InjectorandDollyWaymalware operations. Infoblox researchers investigated Help TDS over the past year and determined the platform is operated by Hotejka, a Russian-language advertising affiliate network. Infoblox declined to say how it achieved access to the affiliate panel, to prevent Help TDS from removing that access, but provided Dark Reading with additional screenshots and evidence not contained in the company's published report. The screenshots of the Hotejka affiliate panel show many of the familiar features of panels from other advertising networks, such as smartlinks and referral offers, campaign demonstrations, and tracking dashboards. Hotejka's affiliate panel includes direct links to tech support scam campaigns. Source: Infoblox But the researchers also found that the panel contained direct links to the Microsoft-themed tech support scam and a malicious WordPress plug-inpreviously documented by GoDaddyresearchers. In short, any "affiliate" of Hotejka could select the tech support scam as a campaign to run, or select "mainstream" smartlinks as a typical advertising partner might choose. When a threat actor, such as a DollyWay operator, selects the tech support scam as the destination for its hijacked WordPress traffic, for example, unsuspecting users are filtered through the Help TDS. Each prospective victim is fingerprinted and rerouted to either the tech support scam or another affiliate platform for further monetization. When the tech support scam is initiated, a user's PC is hit with a Windows notification for a required update, which will restart their system. Regardless of whether the user chooses to restart immediately or later,the screen flashesand displays another Windows error message, followed by a fake warning from Microsoft Windows Security Center stating that the user's access to device has been blocked, with voice-over instructions urging users not to restart their systems to call a listed telephone number to reach Microsoft technical support staff. Infoblox's investigation went a step further than just identifying the technical aspects of the Help TDS operation. Renée Burton, vice president of threat intel at Infoblox, called one of the phone numbers listed in the scam Windows security alert and was routed to an individual who claimed to be a Microsoft technical support employee, working in what sound like a busy call center. Infoblox recorded and published the conversation, during which the threat actor repeatedly assured Burton that she would not be charged for the support. After asking her several questions, the phony support employee directed her to use ctrl-alt-delete to log out of the Windows system and then log back in. He then advised her to open the Start window and go to ultraviewer[.]net, the home page for a free remote desktop application for PCs. Burton was put on hold several times during the 13-minute call, which researchers believe was to done for the threat actors to perform additional screening and profiling. The call end abruptly after she questioned the need to download the remote access tool; Burton said it's not clear if there was an accidental disconnection or if the phony support employee got suspicious and ended the call. "They are pretty good about controlling the call centers," she says, adding that Infoblox hasn't yet re-established contact with the scam operation. "You have to call during certain hours, and they check the IPs and devices." Burton says the Help TDS operation has three things that distinguish it fromother tech support scams. First, the browser lock component is very effective and completely disables keyboard access, while the voice-over instructions provides "a huge social engineering component to it." Second, the Help TDS Telegram channel is used for command-and-control (C2) rollovers, rapidly changing C2 domain sets every five minutes over the past six months, according to the report. "I think it's very effective in keeping their systems up," Burton says, as it makes tracking and blocking malicious activity much harder. And lastly, Burton says the Help TDS affiliate model is unique and gives the tech support scam substantial scale. "These guys have the affiliates that are all the big names in the website malware industry," she says. A key component of the Help TDS scam operation is its abuse of "free, disposable" Cloudflare Pages sites for infrastructure since April, according to Infoblox. And the volume has been significant. "The threat actor creates hundreds of new pages a day. We detected over 20,000 such domains in a six-month period," the report stated. "Another 10,000 pages were created in what appear to be additional phishing or decoy operations." Infoblox researchers noted that Hotejka uses several different domain generation algorithms to create approximately 300 new Cloudlfare Pages sites a day. Infoblox noted that when Help TDS migrated to Cloudflare Pages earlier this year, the company saw up to 4% of its cloud customers exposed to Help TDS on a single day. "While these numbers might not seem large, it shows that Help TDS, often through affiliates who compromise websites, but also through malvertising, social media, and spam distribution, can reach a wide range of organizations," the report stated. And while Infoblox researchers reverse-engineered the algorithms and can now detect Hotejka's new Cloudflare Pages sites about seven days before they're used by Help TDS, there are still significant challenges for tracking and documenting the abuse. "The C2 rolls over so fast, and there's a new C2 every five minutes. And It seems to be [using] a lot of Cloudflare accounts," Burton says, adding that the "crazy variety" of abused Cloudflare accounts isn't typical of similar campaigns, which typically one use one or two. Another challenging aspect is that Help TDS is still running on the same Keitaro server that it was initially deployed on nearly a decade ago, according to Infoblox. Keitaro is a commercial TDS firm whose platform has beenfrequently abused by threat actors, leading to questions about its security and misuse prevention efforts. While Keitaro and parent company Apliteni earlier this yearcooperated with researchers at Infobloxto disrupt abuse of their platform, it's unclear if the Keitaro server is a supported version of the TDS software or a cracked or older version with no license control. Burton says she suspects it's the latter, but because the server is behind Cloudflare services, the researchers are unable to confirm it and determine the full nature of the infrastructure. Burton says Infoblox reported some of the recent domains to Cloudflare and provided technical samples of the operation, and that the company is reviewing them.

𝐗 Twitter f Facebook ☎ WhatsApp ✈ Telegram

← VOLVER A CIBERSEGURIDAD