Los dominios aparcados ahora alimentan estafas y malware

Una dirección web mal tecleada solía dejar a los usuarios en una página basura llena de anuncios. Según la Dra. Renée Burton, vicepresidenta de Inteligencia de Amenazas de Infoblox, ese mismo error ahora puede empujar a los usuarios a un sistema mucho más opaco de redirecciones, subastas, estafas y malware.

Los dominios aparcados surgieron del typosquatting: registrar direcciones parecidas para atrapar a usuarios que escriben mal sitios populares. El modelo era simple. Incluso si solo el 0,1% de los millones que visitan amazon[.]com llegara por accidente a amazn[.]com, ese tráfico de errores tipográficos aún podía generar ingresos publicitarios útiles.

El sistema anterior era molesto pero visible. Los usuarios normalmente podían darse cuenta de que habían acabado en una página aparcada escasa y retroceder. Burton sostiene que el riesgo ha cambiado porque la publicidad en línea ha cambiado. Normas más estrictas sobre la monetización tradicional de dominios han empujado a los actores maliciosos hacia la publicidad sin clics, también llamada búsqueda directa, donde los usuarios son redirigidos al instante en lugar de ver una página aparcada.

Recomendado

La IA todavía no reemplazará a los pentesters

Cómo se monetiza ahora el tráfico por errores tipográficos

Lo que parece un simple error tipográfico puede desencadenar un rápido proceso de subastas en el que el tráfico se compra y vende entre múltiples socios publicitarios en fracciones de segundo. En algún punto de esa cadena, dice Burton, la publicidad legítima puede dar paso a:

• fraude
• estafas
• distribución de malware
• software fraudulento

Ese camino es difícil de investigar porque cada intermediario, exchange, redireccionador o servicio de encubrimiento solo ve una parte del recorrido. El encubrimiento empeora el problema al servir contenido diferente a distintos visitantes según factores como ubicación, navegador y sistema operativo. Un investigador puede ver una página inofensiva, mientras que otro objetivo ve una estafa para robar credenciales.

Por qué el DNS sigue siendo la pista clave

Burton dice que este abuso crea un punto ciego para los defensores porque la ruta puede cambiar de un usuario a otro, y la evidencia puede desaparecer antes de que los analistas puedan reproducirla. Pero cada paso aún depende del sistema de nombres de dominio (DNS).

Al examinar registros DNS históricos y mapear las relaciones entre dominios a lo largo del tiempo, los investigadores pueden conectar incidentes que parecen no estar relacionados e identificar proveedores de dominios aparcados compartidos, servicios de encubrimiento e infraestructura de distribución de tráfico. Eso permite ir más allá de bloquear un dominio por error tipográfico a la vez y, en su lugar, apuntar a la red más amplia detrás de la actividad.

La advertencia de Burton es clara: el principal riesgo ya no es el error tipográfico en sí, sino la suposición de que la infraestructura detrás de él es inofensiva. Los dominios aparcados, antaño considerados poco más que carteles digitales, ahora ofrecen a los actores de amenazas acceso a modelos de negocio confiables y a grandes volúmenes de tráfico de usuarios que pueden monetizar a escala.