Investigadores de ciberseguridad de Infoblox han descubierto una importante operación de acortamiento de enlaces que ayudaba a los ciberdelincuentes a evadir la detección y entregar sitios de phishing y malware a sus objetivos.
Llamaron a la operación Prolific Puma y creen que es probable que múltiples actores de amenazas estuvieran involucrados en el trabajo y la expansión de la operación.
Según el informe, Prolific Puma ha estado utilizando un algoritmo de generación de dominios registrados (RDGA) para crear nombres de dominio de forma masiva. Luego, usarían esos dominios para proporcionar un servicio de acortamiento de enlaces a otros actores maliciosos.
Años en funcionamiento
Esos actores maliciosos crearían su propio phishing y malware páginas y utilizar el servicio para evitar que los escáneres las detecten como tales.
"Cuando perturbamos a Prolific Puma, perturbamos un segmento más grande de la economía criminal", dijeron los investigadores en el informe. "El prolífico Puma genera grandes volúmenes de dominios algorítmicamente y luego utiliza estos dominios para generar enlaces acortados para otros actores maliciosos, lo que les permite ocultar su verdadera actividad".
La operación ha estado activa durante al menos cuatro años, explicó Infoblox, especulando que podría haber sido incluso más larga. Después de todo, la operación no fracasó después de que los investigadores descubrieran una página de destino maliciosa, porque no fue así.
En cambio, se encontró a través de DNS analítica. Hace seis meses, los investigadores que analizan 70 mil millones de consultas DNS por día detectaron una RDGA que creaba nombres de dominio para servicios maliciosos de acortamiento de URL.
En menos de un mes, Prolific Puma logró registrar miles de dominios, muchos de ellos en el dominio de nivel superior de EE. UU. (usTLD), encontraron los investigadores. Desde abril del año pasado, se han registrado unos 75.000 nombres de dominio únicos. A principios de 2023, Prolific Puma registró casi 800 dominios en un solo día.
La mayoría de los dominios tienen un máximo de cuatro caracteres, aunque se han dado casos de dominios con hasta siete.
Nadie sabe cómo terminan las víctimas en estas páginas, aunque los investigadores especulan que son los vectores habituales: anuncios en redes sociales, mensajes de texto y similares.
